文章总结： 该文档介绍了一款BurpSuite验证码DOS漏洞检测插件，可自动化检测因验证码接口隐藏尺寸参数未校验导致的资源耗尽型拒绝服务漏洞。插件通过步进递增参数值进行测试，结合响应时间与长度变化综合判断漏洞存在，并提供内置靶场验证功能。关键发现包括该漏洞隐蔽性强、利用门槛低且传统WAF难以防御，建议通过下载插件并加载至BurpSuite进行安全测试。 综合评分： 78 文章分类： 漏洞分析,安全工具,WEB安全,渗透测试,红队
Burp Suite 验证码 DOS 漏洞检测插件 | 利用验证码图片的隐藏尺寸参数进行DDos攻击
z50n6 z50n6
夜组安全
2026年6月18日 07:30 青海
在小说阅读器读本章
去阅读
免责声明
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：NightCTI
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！
工具介绍
Burp Suite 验证码 DOS 漏洞检测插件
利用验证码图片的隐藏尺寸参数进行资源耗尽型拒绝服务漏洞的自动化检测。
漏洞原理
许多 Web 应用在验证码接口中预留了 height、width、size、margin 等隐藏参数，用于适配不同终端的显示尺寸。开发者通常忽略了参数上限校验，攻击者传入超大值时，服务端会按参数值分配画布并生成对应尺寸的图片。例如 imagecreatetruecolor(10000, 10000) 单次请求即可消耗 400MB+ 内存，而正常验证码仅需 5KB。由于干扰线和噪点数量通常与画布面积成正比，CPU 负载也会随之飙升，仅需少量并发请求即可耗尽服务器资源，造成拒绝服务。该漏洞隐蔽性强、利用门槛低，且传统 WAF 难以识别，在自研图形接口中较为常见。
测试流程
- 点击图片验证码，在 Burp Suite 中抓包
- 右键请求 → 「发送到 CaptchaDos」
- 插件自动以累加步进方式递增参数值并发起测试
- 通过三维度（绝对时间 / 时间增量 / 长度增量）综合判断漏洞
步进逻辑
初始值=50, 步进值=150, 最大值=1000
→ 50 → 200 → 350 → 500 → 650 → 800 → 950 → 1000
每个启用的参数独立测试，发现漏洞后自动跳过同参数剩余步进
快速开始
下载
从 Releases 页面下载最新版 CaptchaDos-1.0-jar-with-dependencies.jar。
加载到 Burp Suite
- 打开 Burp Suite → Extender → Extensions
- 点击 Add
- Extension Type 选择 Java
- 选择
CaptchaDos-1.0-jar-with-dependencies.jar - 加载成功后可在 Burp Suite 顶部看到 「CaptchaDos」 标签页
从源码构建
# 需要 JDK 17+（仅编译需要，产出为 Java 8 bytecode）
git clone https://github.com/z50n6/CaptchaDos.git
cd CaptchaDos
mvn clean package -DskipTests
# 产出: target/CaptchaDos-1.0-jar-with-dependencies.jar
内置测试靶场
项目 test-target/ 目录包含一个存在验证码 DOS 漏洞的 PHP 站点，用于验证插件功能：
- 将
test-target/部署到 PHP 环境（如 phpstudy） - 访问
http://localhost/test-target/ - 抓取验证码请求（
captcha.php），右键发送到 CaptchaDos - 观察插件检测结果
测试账号：admin / admin123
工具获取
点击关注下方名片进入公众号
回复关键字【260618】获取下载链接
往期精彩
[以一烛之光，照见隐秘 | 主动指纹嗅探、威胁情报检索、编解码加解密、JS加密绕过Web爆破
2026-06-17
](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247497078&idx=1&sn=73061cd0c05b3c8b40cb2c81a78c553e&scene=21#wechatredirect)[牛逼！AI 驱动的后渗透综合管理平台，深度集成 LLM Agent，175 个工具 + 21 个技能，开箱即用。
2026-06-16
](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247497040&idx=1&sn=bb0d6936f648c2ffe72f92009c3035be&scene=21#wechatredirect)[实用！跨平台进程内存扫描工具 | 应急响应与安全分析 快速定位可疑连接、进程
2026-06-15
](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247497032&idx=1&sn=208d754e7fc71b572f6176ec32899c7a&scene=21#wechatredirect)[看着很吊！QQ/微信小程序反编译逆向/红队攻击面分析/快速漏洞/检查/筛查
2026-06-12
](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247497026&idx=1&sn=2f30112be8c0a864073b4cfe89bd422b&scene=21#wechatredirect)[WAFBypass – 高级Web应用防火墙检测与绕过工具
2026-06-11
](https://mp.weixin.qq.com/s?_biz=Mzk0ODM0NDIxNQ==&mid=2247497013&idx=1&sn=be1bcd7ee3e1b40b10dd65f8b11c0415&scene=21#wechatredirect)
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：夜组安全 z50n6 z50n6《Burp Suite 验证码 DOS 漏洞检测插件 | 利用验证码图片的隐藏尺寸参数进行DDos攻击》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论