悄悄跳过添加任务验证码

[torta]

[lanhao34]

GOODJON

发自我的 iPhone

在 2014年1月19日，18:12，torta [email protected] 写道：

You can merge this Pull Request by running

git pull https://github.com/torta/xunlei-lixian master Or view, comment on, or merge it at:

https://github.com/iambus/xunlei-lixian/pull/380

Commit Summary

悄悄跳过添加任务验证码 File Changes

M lixian.py (14) Patch Links:

https://github.com/iambus/xunlei-lixian/pull/380.patch https://github.com/iambus/xunlei-lixian/pull/380.diff — Reply to this email directly or view it on GitHub.

[iambus]

能稍微解释一下吗？这算是迅雷验证码的漏洞？

[torta]

是的漏洞, 迅雷大概用了类似redis的kv数据库以cookie中的userid做为key每添加一次任务就INCR一下, 达到阀值就要求输入验证码. 而保存用户数据的数据库内的userid是整数类型，所以那样修改userid仍然可以登录.

[iambus]

多谢，等我找时间试一下。不过我觉得他们很快就会修了……

[jat001]

Nice job, it worked. Thanks.

[jat001]

@torta 我这里测试发现已经不管用了， @iambus 迅雷验证码的地址改成 http://verify2.xunlei.com/image?t=MVA&cachetime= 了。

[iambus]

@jat001 不好意思，更新晚了。 这个pull request已经不管用了是吗？

[jat001]

@iambus 当天上午我在我的项目中测试还管用，下午再测试就不管用了。

[iambus]

果然还是不能依赖漏洞。要不然就偷偷摸摸用……

[comicchang]

@torta %s/阀值/阈值/g