来源：自学PHP网 时间：2015-04-15 15:00 作者： 阅读:次
[导读] 一接口无任何权限控制，可以获取任意员工和租客全部资料。全部资料包括：邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案 存在于找...
|
一接口无任何权限控制，可以获取任意员工和租客全部资料。
全部资料包括：
邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案..
存在于找回密码页面：http://www.ziroom.com/?_p=sign&_a=weakpassowrd&step=1&type=forgetpassword
接口：
http://www.ziroom.com/index.php?_p=api&_a=customer&type=search&login_name=158xxxxxxxx
可利用手机号遍历全部资料，无频度控制
返回值（测试的是一外面公开的员工手机号）：
 直接打开上面url即可
修复方案：
这里只需要知道手机号是否存在，不用返回全部信息。建议对该接口做在线状态校验或权限控制
|
自学PHP网专注网站建设学习,PHP程序学习,平面设计学习，以及操作系统学习
京ICP备14009008号-1@版权所有www.zixuephp.com
网站声明：本站所有视频，教程都由网友上传，站长收集和分享给大家学习使用，如由牵扯版权问题请联系站长邮箱904561283@qq.com
