### 短信功能滥用漏洞

存在多种滥用情况

#### 短信轰炸漏洞

##### 常见特征

- **关键缺陷**： 对短信发送功能  **没有设置速率限制**，或者限制措施不完善（如缺失图片验证码、人机校验等），导致可以自动化批量发送短信
- **危害加重特征**： 即便没有以下特征也能导致短信轰炸漏洞，但是存在以下特征时危害会加重
    - 允许直接/间接控制短信的收件人
    - 允许控制短信发送的部分/全部内容；即便内容不可控也可以通过发送固定内容淹没目标以及消耗短信服务额度

##### 无危害特殊情况
 
短信发送逻辑完全由内部控制，无法在外部直接/间接触发，如自动发送告警短信等

#### 短信内容伪造

##### 常见特征

- **关键缺陷**： 审查构造短信内容或重置链接时，直接将前端传入的参数（如URL、Host、自定义文本）拼接到短信模板中且未做白名单校验的风险（导致钓鱼内容注入）
> 关键在于用户可以控制短信内容，即使过滤了特殊字符等也无法避免被利用进行钓鱼攻击，最佳实践是不允许用户控制短信内容
