网站地图    收藏   

主页 > 后端 > 网站安全 >

电商普及型安全-美团扫号篇(接口设计不当) - 网

来源:自学PHP网    时间:2015-04-16 23:15 作者: 阅读:

[导读] 美团网可扫号,当然很多网站都可以,各大电商都有相应的措施,对于美团销售额7000万+的美团是否能够这样轻易的进入用户账号呢美团 当前登陆,注册都是使用https可是还是能够http访...

美团网可扫号,当然很多网站都可以,各大电商都有相应的措施,对于美团销售额7000万+的美团是否能够这样轻易的进入用户账号呢
 
美团 当前登陆,注册都是使用https
 
可是还是能够http访问,没有地址重定向或者tengine进行配置不支持http
 
这样可以轻松模拟请求,包括判断账号是否注册
 
http://passport.meituan.com/account/check
 
email=12313%40163.com
 
 
 
这样就提高了扫号的成功率,用密正很高吧,下面是没经过这个过滤的,扫号成功率还是很高
 
下面我用一个美团登陆请求,用http访问
 
http://i.meituan.com/account/login
 
email=1231&password=1231
 
 
参数化2个参数,扫号,成功率不错
 
 


 
搞了几分钟,几千个账号了,不过我没用,还是做限制吧
 
修复方案:
1 登陆失败5次以后,包括ip和单个账户,都需要验证码
 
2 对于请求做简单的人机判断,如请求间隔等,建立临时黑名单
 
3 对于一个ip登陆多个账号的,判断用户异常,你们那个策略太宽泛了
 
 
 
即使用不了钱,用户信息还是很珍贵的,是吗

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论