36kr圈子创业者及投资人联系信息泄露及修复

浏览:
字体:
发布时间:2013-12-09 23:24:15
来源:
通过搜索遍历获取36kr圈子创业者及投资人邮箱等信息。
1.圈子里提交一个项目,然后可选择团队成员和投资人;通过搜索可获取所有成员邮箱地址。
 
2.通过抓包发现该搜索接口并未进行权限限制,无需登录即可获取成员及投资人联系信息。
 
 
 
http://www.36kr.net/search/ajax_autoCompleteUserName?q= (q参数为用户名可以为任意字符如0-9 a-z ~-),可通过程序进行遍历)
效果如下:
 

username字段中文名可以使用Unicode进行解码。
 
修复方案:
验证权限。。
>更多相关文章
24小时热门资讯
24小时回复排行
资讯 | QQ | 安全 | 编程 | 数据库 | 系统 | 网络 | 考试 | 站长 | 关于东联 | 安全雇佣 | 搞笑视频大全 | 微信学院 | 视频课程 |
关于我们 | 联系我们 | 广告服务 | 免责申明 | 作品发布 | 网站地图 | 官方微博 | 技术培训
Copyright © 2007 - 2024 Vm888.Com. All Rights Reserved
粤公网安备 44060402001498号 粤ICP备19097316号 请遵循相关法律法规
');})();