在智聯(lián)招聘看到貴公司招聘信息。本著了解方式下載了APP萬(wàn)客翔烁，以下是體驗(yàn)記錄渺氧。
第一步登錄，在沒(méi)有輸入用戶密碼的情況下既然請(qǐng)求出去了蹬屹，產(chǎn)品并沒(méi)有進(jìn)行初步的過(guò)濾侣背。
返回json如下：{"result":false,"code":1000,"msg":"用戶不存在","data":""}。服務(wù)端估計(jì)也沒(méi)有做密碼過(guò)濾直接拿用戶名去查數(shù)據(jù)庫(kù)........
注冊(cè)慨默，看到了獲取驗(yàn)證碼按鈕贩耐。隨手一抓包。哦 天厦取！這獲取短信業(yè)務(wù)有很大問(wèn)題潮太。我預(yù)測(cè)服務(wù)端加密都沒(méi)有肯定也沒(méi)有IP過(guò)濾，我可能可以刷爆你們短信業(yè)務(wù)虾攻，一條6分铡买，一秒刷N條不是問(wèn)題。順手寫了兩個(gè)小程序只要運(yùn)行就知道了這里不多說(shuō)霎箍。
萬(wàn)古短信業(yè)務(wù)測(cè)試地址點(diǎn)我下載
順帶提下 APP既然沒(méi)有帶上 key?也沒(méi)有收集用戶數(shù)據(jù)....請(qǐng)求路徑不解為何要加上80端口
注冊(cè)流程太多東西了沒(méi)玩下去寻狂。
順手點(diǎn)了下找回密碼
。朋沮。蛇券。原來(lái)我沒(méi)有注冊(cè)也能發(fā)送修改密碼的短信成功缀壤。哦天！又浪費(fèi)了一毛錢纠亚。
