人脸识别类漏洞测试与绕过方式
原创
zkaq - nnsae86
zkaq - nnsae86
掌控安全EDU
2026年10月23日 14:43
江西
去阅读
码领资料
获网安教程
本文由掌控安全学院 - nnsae86 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****
一、前言
目前很多小程序，网站都会实名认证并且大多数会使用人脸识别验证，这里实践测试，挖掘到多个人脸识别漏洞绕过的案例。一下简单讲解三个漏洞类型案例。
二、正文
这里是某个AI面试功能点，你填写身份证姓名信息进行实名认证后，会发送一个面试链接信息。
这里点击会跳转至小程序，输入手机号即可，这里其实已经存在一个漏洞点了，那就是手机号可以随意绑定，没有对手机号做校验
最后来到这一步，拍摄人脸照片上传
因为这个小程序对手机清晰度有要求，所以使用AI进行处理一下照片。
直接上传
直接绕过识别，进入面试阶段。整个流程相当于使用他人身份证信息填写简历信息再绕过人脸识别使用他人身份信息进行面试处理。
同样填写身份证信息等，然后需要微信支付宝扫码进行人脸识别
使用另一个手机进行人脸录屏，这里录屏需要录制摇头画面即可，该系统不检测张嘴，眨眼
微信扫描二维码，点击确认
进行人脸识别，把录屏的人脸视频对准摄像头，当识别成功会显示如下
识别完成回到网站界面，显示人脸识别验证通过，实名认证成功，因此我们成功通过手机录屏绕过人脸识别
这个人脸识别功能我认为存在两个功能点，其一：可直接绕过人脸识别这一步直接提交信息，第二就是可以直接伪造人脸识别数据直接以接口的形式提交。
某个个人信息采集平台，这个需要使用手机抓包，因为人脸识别调用摄像头，识别到使用电脑会直接弹窗不允许点击
首先会先填写身份证信息等
我们这里也是正常填写，然后验证码随便输入，提交抓包看看数据包信息
这里字段太多，所以都打码了，简单总结就是，这个最终提交个人信息的请求包，会把用户人脸识别过程中输入的身份证，人脸识别图像保存为一个链接地址，然后把这个地址给这个数据采集请求包。
因此这里存在一个问题，该网站并没有限制链接地址来源信息，也并没有验证用户是否进行人脸识别认证的过程
这里直接把身份证，人脸链接换成互联网上别人的或者随便找的图片链接地址给请求包，通过测试成功提交，相当于直接绕过人脸识别接口，直接提交最终请求包即可。
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论