百合网某APP设计缺陷（影响100w+妹子手机号）
通过抓包，抓取到相关接口
GET /user/getUserInfo?userId=1528&longitude=116.486212&latitude=40.001696&version=1.5.0&talk=0&channel=android%7C%7CAndroid_4.4.2%7C%7C008_miyu_android_huawei%7C%7CPE-TL20%7C%7CHUAWEI HTTP/1.1 Host: miyu.apps.ibaihe.com Connection: close Cookie: SESSIONID=8A599FECF109036C02D79CB403CF667000A14794DAA7C986FB57C40F6393990F2E10F857C26256698BBDA6AF5A7D2456A41ACE153F7D435B7D1A9A01C1FDD016CECC60F99738981F657CA808FA71C17FA66B31A3586B77223D6BACC01FE93CDA Cookie2: $Version=1 Accept-Encoding: gzip
通过修改userId，即可对相关数据进行抓取，使用遍历循环，对用户信息进行存储，即可存储百万妹子手机号。
修复方案：对隐私数据进行加密处理，接口做鉴权处理。
浙江农村信用社某站任意账户密码重置
点击找回密码，并进行拦截抓包处理。
直接修改为成功，并发送网页端。直接就通过了
直接跳转admin页面
漏洞出现原因：设计过程中只对后端返回做确认，没有进一步对校验结果做后端确认。
修复方案：不用多说了，网上都有成熟的校验方式。
设计模式的缺陷存在网站的每个地方，都是需要花时间去慢慢验证的。第二个例子我们也可以看到，用户输入的一切信息都不可信，即使是服务器返回的数据也不可信，通过拦截加修改的方式即可对服务器返回数据进行修改（我所用的工具为burpsuite，网上搜索即可下载，工具的使用也是很简单，包括手机抓包也可用这个工具）
后续会搭建我自己的攻击平台，你们可以在平台上进行练习。
![[恶意代码分析]恶意代码种类以及分析环境介绍](https://ucc.alicdn.com/pic/developer-ecology/4b9fc27df4c04454b03638c718eaa2ca.png?x-oss-process=image/resize,h_160,m_lfit)