programcat

记一次通过改 cookie 获得某网站 VIP 用户权限的案例

  •  
  •   programcat · Sep 28, 2015 · 12699 views
    This topic created in 4060 days ago, the information mentioned may be changed or developed.

    原文链接 : http://www.programcat.com/index/info/id/37

    最近经常上一个在线视频网站,普通用户每天可以看 10 次普通视频, 6 级 VIP 用户可以看无限次 [高清] 视频,并且还可以下载,并且还可以用更快的网站服务器看视频(不卡~)。
    网站视频质量很高,所以萌生了充 VIP 会员的打算,一看价格 600 多。。有点贵
    于是就想想看有没有什么别的方法
    由于这个网站经常上,发现它是会记录我的登陆信息的,就是关闭浏览器再打开,依然是登陆状态,也就是说记录的 cookie 。
    所以打算先看看有没有什么值得关注的 cookie 信息。

    从浏览器处看到这个域名下的 cookie 有 16 个其中 [level] 和 [user_level] 这两个键让我眼前一亮
    http://www.programcat.com/upload/image/20150927/1443361389579439.png
    这是等级 和用户等级 的意思,也就是说,更改这两个的值,是不是就可以骗过对方的网站,让他们认为我是 VIP 呢

    开搞,先试试再说。

    由于我用的 360 极速浏览器, chrome 内核,所以先下载了一个更改 cookie 的插件---EDIT THIE COOKIE 。

    用它来改 cookie ,下载好之后,在这个视频网站的页面上点击右键调出 cookie 页面,找到 leave 那一栏,把 0 改成了 6 (网站的 VIP 会员是 6 级)

    http://www.programcat.com/upload/image/20150927/1443360811645550.png
    然后点击保存,这时候刷新视频页面!!!!!
    见证奇迹的时刻到了。果然支持了高清视频播放,并且看视频也不卡了,还可以下载(其实原本我也知道下载视频的方法,另说)
    技术宅就是好~不花钱看 VIP 视频。。。。

    后记:

    一般大型网站,基本都是 cookie + session 的模式
    session 存敏感信息, cookie 存登陆信息 然后一般涉及到权限的东西,是不会存 cookie 里的
    这个网站的开发者明显偷懒了~亦或者是他们网站的服务器资源比较少。。。。
    因为存 session 里量一大,是对服务器有很大压力的。。

    52 replies  •  2016-12-30 09:14:50 +08:00
    lyragosa
    lyragosa
    Sep 28, 2015
    1
    用户等级放在 cookie 里面……这是多有信心啊……
    Strikeactor
    Strikeactor
    Sep 28, 2015
    2
    91username
    感觉这会是个好东西
    phpcxy
    phpcxy
    Sep 28, 2015
    3
    不会是 91 吧?
    BOYPT
    BOYPT
    Sep 28, 2015
    4
    其实按 F12 , Resources 标签里面就可以改 cookies ,不需要插件。
    x86
    x86
    Sep 28, 2015
    5
    看了下并不是我偶尔上的那个 91 ,不开心 ︶︿︶
    gamexg
    gamexg
    Sep 28, 2015
    6
    我前几天看到一个网站付款金额是使用的前端表单提交的值,可以改成 0.01 。
    很奇怪设计的时候应该能意识到危险啊,怎么还这样写呢?
    programcat
    programcat
    OP
    Sep 28, 2015
    7
    @BOYPT F12 里的 Resources 只能看不能改,至少 chrome 是这样。
    popok
    popok
    Sep 28, 2015
    8
    @BOYPT 有插件方便,要改的话,直接 js 命令也行
    CuminLo
    CuminLo
    Sep 28, 2015
    9
    然而并不是 91 , 那是什么呢
    BOYPT
    BOYPT
    Sep 28, 2015
    10
    @programcat 哦~ 我记错了是 firefox 的 firebug 的 F12 。
    XnEnokq9vkvVq4
    XnEnokq9vkvVq4
    Sep 28, 2015 via Android
    11
    看楼主的描述很像 91 啊。
    fxxkgw
    fxxkgw
    Sep 28, 2015
    12
    哈哈 这么多人说 91 我只看了标题就立马想到了 91 🐺友众多呢
    66beta
    66beta
    Sep 28, 2015
    13
    10 次,以为是 91
    ipconfiger
    ipconfiger
    Sep 28, 2015
    14
    cookie 可以防篡改的嘛,这个都没做当然拙计啊
    giuem
    giuem
    Sep 28, 2015 via Android
    15
    哈哈,我也以为是 91
    ksky
    ksky
    Sep 28, 2015
    16
    成功,果然是 91 。
    Lyc1874
    Lyc1874
    Sep 28, 2015 via iPhone
    17
    每天免费 10 个,指向性好明显
    yvanhe
    yvanhe
    Sep 28, 2015
    18
    亲测有效 确实是 91p
    cevincheung
    cevincheung
    Sep 28, 2015
    19
    就是 91 ……
    yangtze
    yangtze
    Sep 28, 2015
    20
    对不起(严肃),我必须要举报这个 topic
    programcat
    programcat
    OP
    Sep 28, 2015
    21
    @cevincheung
    @yvanhe
    @Lyc1874
    @ksky
    @fxxkgw
    @66beta
    @hanqian

    大家果然是同道中人啊。。记住闷声发大财
    hcwhan
    hcwhan
    Sep 28, 2015
    22
    第一反应 91
    cevincheung
    cevincheung
    Sep 28, 2015
    23
    貌似已经不行了。每次访问都重新设置一个 cookie ,会将本地的给覆盖掉。- -
    programcat
    programcat
    OP
    Sep 28, 2015❤️5
    24
    艹。。。谁这么傻逼,联系 91 的管理员了。。。现在人家的等级信息不走 cookie 了。。看来以后还得 闷声发大财!长者教训的好啊
    cyang
    cyang
    PRO
    Sep 28, 2015
    25
    哈哈哈 我一直以为这种网站的技术力量很强大的...不然容易黑吃黑啊 没想到....
    66beta
    66beta
    Sep 28, 2015
    26
    what ?已经阵亡了,我去
    gzlock
    gzlock
    Sep 28, 2015
    27
    中出叛徒系列
    xfspace
    xfspace
    Sep 28, 2015 via iPad
    28
    估计就是开发者特意留下的,你特么公布出来就没戏了🐴
    Reficul
    Reficul
    Sep 28, 2015 via Android
    29
    我们中出了一个叛徒
    miniwoodman
    miniwoodman
    Sep 29, 2015
    30
    当中出了一个叛徒后,程序喵表示“真是日了狗了”
    laodao
    laodao
    Sep 29, 2015
    31
    现在删帖还来的及。。。。。
    2290293658
    2290293658
    Sep 29, 2015 via Android
    32
    才这几个人就出了叛徒,简直了
    49
    49
    Sep 29, 2015 via Android
    33
    卧槽…这个早就有 V 友做了,还是插件…然而人家一直闷声大发财…
    楼主,图样图森破,上台拿衣服
    Sharuru
    Sharuru
    Sep 29, 2015 via Android
    34
    你们让我这个去年光棍节趁特价充了 lv6 的情何以堪...
    zhoujianqingz
    zhoujianqingz
    Sep 29, 2015 via iPhone
    35
    能告之下网站吗?私信个
    gzlock
    gzlock
    Sep 29, 2015 via Android
    36
    @Sharuru 求改密码后分享一天使用,还没体验过 VIP ,真的只用一天,有几个视频想下载
    lj6684
    lj6684
    Sep 29, 2015
    37
    是不是 91 管理员也喜欢逛 V2EX 呀?
    popsong
    popsong
    Sep 29, 2015
    38
    我们中出了一个叛徒
    programcat
    programcat
    OP
    Sep 29, 2015
    39
    @laodao V2 咋删帖啊
    programcat
    programcat
    OP
    Sep 29, 2015
    40
    @49 我错了。。。哎
    imdoge
    imdoge
    Sep 29, 2015
    41
    第一反应不是 91 就是 caoporn 哈哈哈,看看楼上讨论还真是 :doge:
    laodao
    laodao
    Sep 29, 2015
    42
    @programcat 联系下管理员,说你帖子涉黄了。
    lance26
    lance26
    Sep 29, 2015
    43
    我们中出了一个叛徒
    49
    49
    Sep 29, 2015 via Android
    44
    @Sharuru 辣鸡国安! www
    programcat
    programcat
    OP
    Sep 29, 2015
    45
    @laodao 目标网站已经无法通过这个方法修改 cookie 了。所以现在删了也无济于事,放这里吧提供个思路
    laodao
    laodao
    Sep 29, 2015
    46
    @programcat 额,我还行啊。
    iyaozhen
    iyaozhen
    Sep 29, 2015
    47
    卧槽,真是日了🐶了,才来就失效了,中出叛徒。
    ByZHkc3
    ByZHkc3
    Sep 29, 2015
    48
    也是溜到不行,哈哈
    OrangeM21
    OrangeM21
    Sep 29, 2015
    49
    中出叛徒。
    bigger
    bigger
    Dec 29, 2016
    50
    老司机, 刚刚亲测有效
    jiangnanwd
    jiangnanwd
    Dec 30, 2016
    51
    @bigger 闷声发大财啊兄弟,别亲测有效啊
    iamzhuyi
    iamzhuyi
    Dec 30, 2016
    52
    已经不好用了 大家不要试了 手动斜眼
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   2227 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 193ms · UTC 14:09 · PVG 22:09 · LAX 06:09 · JFK 09:09
    ♥ Do have faith in what you're doing.