电商普及型安全-美团扫号篇(接口设计不当)

来源：自学PHP网时间：2015-04-16 23:15 作者：阅读:次

[导读] 美团网可扫号，当然很多网站都可以，各大电商都有相应的措施，对于美团销售额7000万+的美团是否能够这样轻易的进入用户账号呢美团当前登陆，注册都是使用https可是还是能够http访...

美团网可扫号，当然很多网站都可以，各大电商都有相应的措施，对于美团销售额7000万+的美团是否能够这样轻易的进入用户账号呢

美团当前登陆，注册都是使用https

可是还是能够http访问，没有地址重定向或者tengine进行配置不支持http

这样可以轻松模拟请求，包括判断账号是否注册

http://passport.meituan.com/account/check

email=12313%40163.com

这样就提高了扫号的成功率，用密正很高吧，下面是没经过这个过滤的，扫号成功率还是很高

下面我用一个美团登陆请求，用http访问

http://i.meituan.com/account/login

email=1231&password=1231

参数化2个参数，扫号，成功率不错

搞了几分钟，几千个账号了，不过我没用，还是做限制吧

修复方案：

1 登陆失败5次以后，包括ip和单个账户，都需要验证码

2 对于请求做简单的人机判断，如请求间隔等，建立临时黑名单

3 对于一个ip登陆多个账号的，判断用户异常，你们那个策略太宽泛了

即使用不了钱，用户信息还是很珍贵的，是吗

更多文章推荐