V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
winterock
V2EX  ›  程序员

黑洞咖啡馆绕过邀请码注册成功,我把这个发出来纯粹为了好玩,建议把这个漏洞补一补。PS:能不封我账号吗?

  •  2
     
  •   winterock · 2014-10-07 00:26:09 +08:00 · 31911 次点击
    这是一个创建于 3451 天前的主题,其中的信息可能已经有所发展或是发生改变。
    @neoz (话说创建主题能at人么?)

    前几天忙着到处去吃高价饭(参加婚礼),刚刚看到“黑洞,新宇宙。V2EX 特别暗号”,发现已经来晚了。看大家回复得那么热闹,感觉好像还挺有意思的。
    (请注意,以下步骤中的代码故意写的有问题,照抄可是不能正常运行的哦。)

    可是,没有邀请码肿么办?那就尝试一下能不能绕过咯。
    1,试试邀请码coffee4us以及随便输入一个邀请码 -> 提示错误
    2,浏览一下注册页面的代码,用的是bootstrapValidator来验证,另外页面中写了一段js代码来初始化bootstrapValidator。这东西没用过,没关系,去找官网看看api。
    3,然后很顺利得就发现了貌似可以在chrome的console下这样做,form.bootstrapValidator('updateStatus', 'invitecode', 'VALIDATED'),前面的错误提示消失了
    4,点击注册,又出现了错误提示,估计提交的时候还会再验证一次
    5,没关系,重新找一个api--form.bootstrapValidator('removeField', 'invitecode')
    6,点击注册,由于填的邀请码是“111”,提示验证码不存在。诶,有戏!
    7,再来,把邀请码改为别人用过的,例如“coffee4us”
    8,Mission Complete!

    如果给站主带来什么麻烦,提前说一声抱歉啦。
    要解决上面这个问题,需要在后台再判断一下,用过的或者过期的邀请码不能再用,就好了。


    最后,再ps一次,能不封我账号么?我不会干坏事的!!!
    164 条回复    2014-11-23 21:33:55 +08:00
    1  2  
    Lucups
        1
    Lucups  
       2014-10-07 00:31:50 +08:00
    我不会把这个秘密告诉别人的,前提是楼主你快给我个邀请码 :)
    winterock
        2
    winterock  
    OP
       2014-10-07 00:36:31 +08:00
    @Lucups 这。。。。。。绕过的方法都发出来啦,趁现在还行得通赶紧去注册一个就是了啊,还要邀请码干嘛?
    yy1983
        3
    yy1983  
       2014-10-07 00:41:40 +08:00
    这……膜拜大神中~就算发出来了~我也没看懂……
    ipconfiger
        4
    ipconfiger  
       2014-10-07 00:53:08 +08:00
    ReferenceError: form is not definedmessage: "form is not defined"stack: (...)get stack: function () { [native code] }set stack: function () { [native code] }__proto__: Error
    Laobai
        5
    Laobai  
       2014-10-07 00:54:50 +08:00 via Android
    不明觉厉
    ipconfiger
        6
    ipconfiger  
       2014-10-07 00:59:23 +08:00
    测试失败
    luckykong
        7
    luckykong  
       2014-10-07 01:00:47 +08:00
    哦哈哈哈哈,新技能get~~顺利成功~希望不会封号
    llbbzh
        8
    llbbzh  
       2014-10-07 01:03:18 +08:00
    @neoz 已经补上了
    ipconfiger
        9
    ipconfiger  
       2014-10-07 01:03:20 +08:00
    @luckykong 几时成功的?不会这么点背吧,刚看到服务端已经封了
    Lucups
        10
    Lucups  
       2014-10-07 01:03:49 +08:00
    @winterock 开玩笑的啦~我已经有付费的代理了,看到没人回复,特地来支持一下的~ :)
    ipconfiger
        11
    ipconfiger  
       2014-10-07 01:04:19 +08:00
    neoz
        12
    neoz  
       2014-10-07 01:04:28 +08:00
    前些天在处理邀请机制的时候急着有事情,就匆匆忙忙的做了简单的验证。以至于现在的状况。很感谢对于BUG的反馈~不会封号的拉,善意折腾的用户是好用户
    luckykong
        13
    luckykong  
       2014-10-07 01:05:48 +08:00
    @ipconfiger 就在我发消息前一分钟成功的~
    ipconfiger
        14
    ipconfiger  
       2014-10-07 01:07:15 +08:00
    @luckykong 慢了一步,失败,洗洗睡了
    neoz
        15
    neoz  
       2014-10-07 01:12:02 +08:00   ❤️ 1
    @ipconfiger
    发现自己有一个
    bf58432148b643a8b4c41c3901b81d1b 默默地送给夜猫子
    hapboy
        16
    hapboy  
       2014-10-07 01:14:04 +08:00
    @neoz 用不了……发了个感谢,能否给一个……
    slowfei
        17
    slowfei  
       2014-10-07 01:14:09 +08:00   ❤️ 1
    刚想试试洞洞,
    发现有码
    bf58432148b643a8b4c41c3901b81d1b
    (已使用)


    接力
    13e0413a1acb5c259d9da6efa1657e70
    ipconfiger
        19
    ipconfiger  
       2014-10-07 01:39:49 +08:00
    @neoz 以为是好玩的解密游戏
    aliuwr
        20
    aliuwr  
       2014-10-07 01:44:51 +08:00
    我的方法直接粗暴。
    在页面内嵌的代码中看到 invitationCode 一段,认为 remote 是关键字。
    打开 Firebug, 将 bootstrapValidator.min.js 格式化,搜索 remote, 直接在 2728 行下断点,修改返回值 a.valid 为 true。

    建议楼主下次发现问题先尝试联系网站相关人员,避免给其带来恶性的后果。
    aheadlead
        21
    aheadlead  
       2014-10-07 01:47:00 +08:00
    @slowfei 邀请码错误或已被使用
    zhigang1992
        22
    zhigang1992  
       2014-10-07 02:09:13 +08:00
    邀请码是现有用户邮箱的MD5吗?
    zhigang1992
        23
    zhigang1992  
       2014-10-07 02:19:03 +08:00
    @neoz 还真的是呀~~~ 加个盐吧
    翻了翻把这位仁兄的邀请码给用了 @fypyyzr
    给大家接力吧
    6e38023fb202d0261c75359d81402729
    13k
        24
    13k  
       2014-10-07 02:23:34 +08:00 via iPad
    I took this 6e38023fb202d0261c75359d81402729
    dinghua
        25
    dinghua  
       2014-10-07 02:28:05 +08:00
    @13k 求邀请码
    13k
        26
    13k  
       2014-10-07 02:31:02 +08:00 via iPad
    be03d2094262d536da895425153f2d8b
    dinghua
        27
    dinghua  
       2014-10-07 02:36:11 +08:00
    接力:
    cc86401757f4da37874831eb6da0e8bd
    HELLODC
        28
    HELLODC  
       2014-10-07 03:32:03 +08:00
    求接力啊!!
    Havee
        29
    Havee  
       2014-10-07 07:14:03 +08:00
    没人接力了?
    liyandong
        30
    liyandong  
       2014-10-07 07:55:08 +08:00
    快,我要邀请码。[email protected]
    RIcter
        31
    RIcter  
       2014-10-07 08:13:31 +08:00 via iPhone
    看这样子没做后端验证?
    又不像没做后端验证的样子…什么神奇原理…

    我直接post data可以么
    frozenfall
        32
    frozenfall  
       2014-10-07 08:26:36 +08:00
    frozenfall21#gmail.com
    放假只顾玩去了,没有来呢~~~谢谢啊~~~
    karonl
        33
    karonl  
       2014-10-07 08:42:50 +08:00 via Android
    真诚求暗号 [email protected]
    letitbesqzr
        34
    letitbesqzr  
       2014-10-07 08:50:25 +08:00
    monkeysqzr#gmail.com
    omoyouo
        35
    omoyouo  
       2014-10-07 08:55:24 +08:00
    完了,接力断了。jluwangyx#gmail.com
    gerorim
        36
    gerorim  
       2014-10-07 09:03:31 +08:00
    @frozenfall

    接力:
    0c9a1c8c9b9ddff88050331a7415d3ed
    mmmiao
        37
    mmmiao  
       2014-10-07 09:04:02 +08:00
    求一枚邀请码 [email protected] ,谢谢啦
    evilangel
        38
    evilangel  
       2014-10-07 09:08:52 +08:00
    好吧,原来邀请码是邮箱MD5加密字符串,刚拖了一下,找到@winterock 兄弟的邮箱MD5转了下测试注册成功了,在此说声抱歉跟谢谢。最好改进一下!
    另外送上接力:942dd536997a91113dc2ed566d917279
    20140930
        39
    20140930  
       2014-10-07 09:09:53 +08:00
    用了36楼的,接力de2f094cadc06786924b664695201437
    evilangel
        40
    evilangel  
       2014-10-07 09:11:04 +08:00
    哈哈,才发现原来@winterock就是楼主。。。希望@neoz 尽快修复吧~PS,不会删我账号吧?
    Mcatt
        41
    Mcatt  
       2014-10-07 09:22:29 +08:00
    求邀请码接力!
    MexiQQ
        42
    MexiQQ  
       2014-10-07 09:23:02 +08:00
    断掉了嘛??求接力啊
    MexiQQ
        43
    MexiQQ  
       2014-10-07 09:23:34 +08:00
    Moker
        44
    Moker  
       2014-10-07 09:32:24 +08:00
    s试了下上面的 全部使用过了 求接力
    mimomi
        45
    mimomi  
       2014-10-07 09:34:39 +08:00
    求接力阿

    zhanghan276(#)gmail.com
    wanjun
        46
    wanjun  
       2014-10-07 09:49:38 +08:00
    @neoz 邀请码bug
    palytoxin
        47
    palytoxin  
       2014-10-07 09:56:22 +08:00
    neoz
        48
    neoz  
       2014-10-07 10:21:32 +08:00
    @evilangel 看来还是应该加加盐~
    LittleTodd
        49
    LittleTodd  
       2014-10-07 10:29:42 +08:00
    发一枚邀请码 989380ba6e0ac0bf45ef92ee4d1f2b76
    zzetao
        50
    zzetao  
       2014-10-07 10:34:42 +08:00
    @LittleTodd 已使用
    sandideas
        51
    sandideas  
       2014-10-07 10:38:08 +08:00
    @zzetao 求接力。。
    bingowrt
        52
    bingowrt  
       2014-10-07 10:38:44 +08:00
    @palytoxin 卧槽。。。我打开了.com结果卧槽差点被我爸我妈看到。。
    dotpig
        53
    dotpig  
       2014-10-07 10:40:49 +08:00
    @zzetao 接个力吧
    cjjia
        54
    cjjia  
       2014-10-07 10:43:35 +08:00
    f88e8c9f69d98b83cf8cd7f01cd7f5ec
    dotpig
        55
    dotpig  
       2014-10-07 10:45:35 +08:00
    @cjjia 谢谢分享,已经使用。我继续接力,并提议使用者也接一下力:

    19b515bf6f3e853d14830c6d558d957f
    nopy
        56
    nopy  
       2014-10-07 10:46:18 +08:00
    @dotpig 感谢。
    接力
    67321b2b6f576400ed90bf58bd7938c6
    mimomi
        57
    mimomi  
       2014-10-07 10:47:11 +08:00
    @nopy 已用 求接力
    sandideas
        58
    sandideas  
       2014-10-07 10:47:21 +08:00
    @nopy
    已用。接力。
    2e470c91e1f0050f0527dbed5cd8a8f7
    tolbkni
        59
    tolbkni  
       2014-10-07 10:53:41 +08:00
    @sandideas 已用 求接力
    mimomi
        60
    mimomi  
       2014-10-07 10:54:58 +08:00
    @tolbkni
    接力
    877a78f5d4f29d0636ad0f296742abd9
    tolbkni
        61
    tolbkni  
       2014-10-07 10:55:33 +08:00
    @mimomi 有人比我快……
    xspoco
        62
    xspoco  
       2014-10-07 10:56:07 +08:00
    @mimomi
    已用,接力

    cd96025a68af41e1bc16b1b7979f3556
    tolbkni
        63
    tolbkni  
       2014-10-07 10:56:52 +08:00
    @xspoco 姨妈,都在 F5,网速不给力啊
    Brook
        64
    Brook  
       2014-10-07 10:57:55 +08:00
    @xspoco
    已用,接力
    adc5afd1b39bbab3c4aefa1c9962b49f
    tolbkni
        65
    tolbkni  
       2014-10-07 10:58:47 +08:00
    @Brook 已用,接力

    85ddbdbf380b3fa3a0ec21463a85b101
    ChangeTheWorld
        66
    ChangeTheWorld  
       2014-10-07 11:00:13 +08:00   ❤️ 1
    @tolbkni 已用,接力

    308313d2d0e5f2a41ed2a95df08490eb
    ybh37
        67
    ybh37  
       2014-10-07 11:01:17 +08:00
    @ChangeTheWorld 已用 谢谢
    接力

    b038c35dd0853fc4426b217e86be4dfa
    lioekas
        68
    lioekas  
       2014-10-07 11:01:56 +08:00
    已用 4287605e94e666f9b511e9def032a0ec
    kaguca
        69
    kaguca  
       2014-10-07 11:05:05 +08:00   ❤️ 1
    @lioekas 好人一生平安,已用
    接力
    1af16a4cee88b546a90a497c6bde3780
    chinafeng
        70
    chinafeng  
       2014-10-07 11:05:15 +08:00
    怎么没有人接力了
    lisx
        71
    lisx  
       2014-10-07 11:06:59 +08:00
    @kaguca 接力
    ccefcc90bfc6c4f0fe63c18ea93471bd
    chinafeng
        72
    chinafeng  
       2014-10-07 11:08:13 +08:00
    @lisx 已经失效...谁给用了也不说话,呜呜
    nuist
        73
    nuist  
       2014-10-07 11:09:44 +08:00
    @chinafeng ccefcc90bfc6c4f0fe63c18ea93471bd
    zzNucker
        74
    zzNucker  
       2014-10-07 11:14:52 +08:00
    用了的接一下力哈~
    wmq5451532
        75
    wmq5451532  
       2014-10-07 11:16:42 +08:00
    @neoz 需要闲置服务器吗?
    chinafeng
        76
    chinafeng  
       2014-10-07 11:19:21 +08:00
    @nuist 又被使用了...没人接力
    winterock
        77
    winterock  
    OP
       2014-10-07 11:19:51 +08:00
    @ipconfiger 你这就是心急吃不了热豆腐啊。我一开始就说了代码不能照抄呀,前两条评论里面可以看出你没有仔细去看懂代码,把我故意写错的地方改过来。看别人@luckykong 多机智。


    @Lucups 谢谢你呀,我正式授予你“捧场王”的称号,哈哈。


    @llbbzh @neoz 动作真快呀。佩服。谢谢不封号。


    @aliuwr 如果是严重的问题,我当然会私下联系站主,但是这个问题,其实没有任何破坏性,最多多几个用户注册,如果站主觉得这样不妥,把新注册的删掉就是了。
    winterock
        78
    winterock  
    OP
       2014-10-07 11:22:21 +08:00
    @evilangel 小老弟,你把我的唯一的邀请码用了,这样真的好吗?哈哈,不过为你的机智点赞。
    F2Sky
        79
    F2Sky  
       2014-10-07 11:24:08 +08:00
    在线刷新等接力
    ~~~~(>_<)~~~~
    yinxingren
        80
    yinxingren  
       2014-10-07 11:33:16 +08:00
    @F2Sky 79941d6b5c3c08aa8dd7d899fb2ab43f 发我张好人卡把
    F2Sky
        81
    F2Sky  
       2014-10-07 11:35:23 +08:00
    @yinxingren

    谁用了????!!!!!

    ~~~~(>_<)~~~~
    F2Sky
        82
    F2Sky  
       2014-10-07 11:37:14 +08:00
    不要这样好不好,别人是 at 我的,干嘛抢着用嘛

    用了的借个力吧

    最好邮箱我吧,别又被抢了 f2sky.me@gmail.com
    zzNucker
        83
    zzNucker  
       2014-10-07 11:38:48 +08:00
    @F2Sky 太惨了。。。。 继续坐等接力
    jun708
        84
    jun708  
       2014-10-07 11:39:09 +08:00
    我也求一个 能够发邮箱吗? [email protected]
    amon
        85
    amon  
       2014-10-07 11:39:58 +08:00
    gosuxm#gmail
    哪个兄台友情发个过来,继续接力
    Artotria
        86
    Artotria  
       2014-10-07 11:44:02 +08:00
    CMGS
        87
    CMGS  
       2014-10-07 11:48:40 +08:00
    求一个 ilskdw # gmail
    yanest
        88
    yanest  
       2014-10-07 11:54:36 +08:00
    求码 jonazhang#gmail.com
    fyw321
        89
    fyw321  
       2014-10-07 11:56:56 +08:00 via Android
    求带fyw321#gmail.com
    eAststArs
        90
    eAststArs  
       2014-10-07 11:57:03 +08:00
    eaststars#163.com 求个码... 谢谢
    GitFree
        91
    GitFree  
       2014-10-07 11:58:45 +08:00   ❤️ 1
    接一个 348497d0c2dd862598d1ee96a6327709
    Artotria
        92
    Artotria  
       2014-10-07 12:00:11 +08:00
    @GitFree 多谢,接力4c7acef7e49b2f26f0661998543fe048
    F2Sky
        93
    F2Sky  
       2014-10-07 12:04:47 +08:00
    多谢好人!
    @Artotria


    接力:df22cfc921a3f538944c0997f94a3d2a
    twor2
        94
    twor2  
       2014-10-07 12:06:23 +08:00
    @F2Sky

    接力 35461c4d8013b14bf41a77403495a2f9
    zzNucker
        95
    zzNucker  
       2014-10-07 12:07:24 +08:00
    @twor2

    接 030cef59449a0cbd336e5f97e0a36e72
    raychar
        96
    raychar  
       2014-10-07 12:07:43 +08:00
    是有多少人守着这帖啊,秒注啊!
    gsalex
        97
    gsalex  
       2014-10-07 12:08:54 +08:00
    @zzNucker
    接力
    49552058a60997f710ce6a0c21b4621e
    jun708
        98
    jun708  
       2014-10-07 12:09:24 +08:00
    汗 这个也太快了 能够给我一个发邮箱吗? [email protected] 谢谢
    raychar
        99
    raychar  
       2014-10-07 12:10:10 +08:00   ❤️ 1
    @gsalex
    感谢
    63c598ef173285b24a7d618a5debc2e9
    Moker
        100
    Moker  
       2014-10-07 12:31:12 +08:00
    继续求。。哎
    1  2  
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   3444 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 38ms · UTC 11:24 · PVG 19:24 · LAX 04:24 · JFK 07:24
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.