研究TBS的一点小心得，不知道这个算不算漏洞

潜水大帝 · 发表于 2013-1-25 09:38:49

younluve 发表于 2013-1-25 09:07
* p! [' Q5 K: y! E% L9 QGlobalCode.g_uniq1 c! p, d! E) z0 F& V; {8 L
这个变量是关键，这是个全局变量，可能是用户的uid,得到后直接 http://thebestspinner. ...

它是GlobalCode类里的一个成员吧，整个程序里它很关键。
我怀疑不只是UID那么简单，如果我有一个正常的帐号登录，截取一下正常的返回参数和数据就好分析了。
登录成功后，每次获取服务端数据都要验证这个参数，来判断该读哪个用户的词库文档。这个UID不应该只是单纯的数字，可能是加密字符串。或者是用户登录的邮箱地址，反正你随便添数字返回的都是-1。

浅醉 · 发表于 2013-1-25 09:41:52

TBS也不是贵吧

younluve · 发表于 2013-1-25 10:28:55

潜水大帝发表于 2013-1-25 09:38 3 V- Q; j# r( p- Q8 M0 p8 Y$ {
它是GlobalCode类里的一个成员吧，整个程序里它很关键。
/ G# w9 p' M! d. z# F我怀疑不只是UID那么简单，如果我有一个正常的帐 ...

最直接的抓包，看下g_uniq是什么是否一直在变化，你如果有程序的源码慢慢分析也行的

潜水大帝 · 发表于 2013-1-25 10:31:46

younluve 发表于 2013-1-25 10:28 * I' k2 o6 f# k+ _! e2 O" s
最直接的抓包，看下g_uniq是什么是否一直在变化，你如果有程序的源码慢慢分析也行的 ...

没用，所有核心的数据都在服务器上，还有那些API接口，其中Auto-Rewrite就是调用API的，在服务器端操作完，在返回结果的。刚才看到那个guid了，好像是MD5加密后的字符串，不是明文。

		自动登录	找回密码
密码			立即注册

谷歌+Bing+TT+MSN官方代理	⚡️按条S5代理⚡️静态⚡️独享⚡️5G	需要代理IP?⚡️Proxysites.ai⚡️	指纹浏览器，就用AdsPower
Mediabuy⚡️玩家开户首选	【鲁班跨境通-自助充值转账】	FB/GG/TT❤️官方免费开户	Affiliate 全媒体流量资源⚡️
Taboola/Outbrain /Bing⚡️一级代理	*开户投流-724h❤️人工在线**	【官方】❤️搜索套利买量投流开户	独立站⚡️开户投放
FB BM不限额，短id账单户	E.PN 虚拟卡	DuoPlus专注打造跨境电商云手机	BINOM TRACKER 60% OFF!
比Adplexity还好用的Spy工具	ADPLEXITY + ADVERTCN	7200W全球动态不重复住宅IP代理	虚拟信用卡+独立站收款
全球虚拟卡, 支持U充值	Facebook 批量上广告	尤里改 - FB 稳定投放	免费黑五教程（持续更新、欢迎交流）
FB 三不限源头 - 自助下户充值转款	各种主页、账单户、BM户（优势）	⚡️个人户，bm户不限额，账单户	9Proxy ⚡️ $0.04/IP, 无限带宽
IPCola原生住宅IP⚡️$1.8/条双ISP	Google、Bing官方总代联盟流量开户	fb耐用号0.01一个	fb账号官方合作商
FB资源，账单户，分享户，国内一手	FB企业户BM户账单户源头	收FB代投工作室,收TrafficFactory账号	IPWO全球住宅代理⚡️免费测试⚡️
FB海外三不限-户源多费率低	PTM全球虚拟卡—进来交个朋友!	PTM虚拟卡⚡️费率透明⚡️额度随心	FB虚拟卡⚡️消费越多返现越多
广告位出租	虚拟卡返佣1%，国内持牌机构

[讨论] 研究TBS的一点小心得，不知道这个算不算漏洞

社区QQ达人