Forwarded from Deleted Account
@xiaqqaix it was great meeting you in person! Hope we can repeat in some other occasion with more time :)
curl 'https://all-dream.com/rest/student/info?studentId=d21ad8f718264854a4dee4dc4a11badd' -v
你们可以看到我的手机号码
你们可以看到我的手机号码
duangsuse::Echo
他们这还有漏洞啊.... 既然回复的快就叫他们赶快再检查一下还有哪里没有验证就把电话交出去了...
这根本不是验证的问题，就是 API 设计都有问题，为什么电话要放在这种 API 里查询，这权限模型整个都有问题
duangsuse::Echo
我还害怕会不会有常见安全问题呢，比如 PHP 和 SQL 注入、XSS 的问题，都是严重问题，懒得测试了
他们好像去 CSRF 头了... 看来我的客户端大概不能用了 23333 🌚...
duangsuse::Echo
他们好像去 CSRF 头了... 看来我的客户端大概不能用了 23333 🌚...
大概还没稳定下来，又撤销了，我留张遗照...