某听书网站系统漏洞，利用抓包拼接方式获取网站资源

不想做黑客的安全测试不是优秀的cybercop。怎么才能算是优秀的cybercop呢？那么就就必须学会或懂的黑客惯用一些手法与业内所流行的一些漏洞。

加QQ群：

136611782

 

包月15元，我测出来这个bug可以没费收听网站所有小说，你说我这算不算违法？

先看看这个网站的会员介绍，接下来我们开整：

刚试了下，使用vip下载也是可以模拟下载，而且下载成功。

简单说下我的构思：

一本小说，有很多集，每一集请求下载都会生成一个k的json，例如：

jQuery110104117651875777729_1398227396661({status:1,t:'2014-4-23 13:03:39',k:'DObXsN2fD1NNs5%2fXCNGeUEBLA6GLDeL41l7KlxMA2pcsKN9sOehc1P5gUkXp0FEqf%2fwIkjsLN60ziblGYw5P58qwrFxa%2fFiFek2sHb3kFLMPH9emxPUzC28TJEZ2GScC'})

我们只要获取到这个K，就可以定位到这一集具体的位置，这本小说是固定的id，每一集的K找到了，剩下的不就简单了。下载速度还挺快的....

 

脚本摘要：

*

模拟下载请求，不管你是不是VIP，系统都会给你生成一个K。

我们获取的也就是这个K。

淡定，淡定。

没有天衣无缝的系统，漏洞无处不在，就看你有没有发现漏洞的眼睛。