南京某搞分期付款买 iPhone 的公司，客户资料泄露了，这下估计要有不少人遭殃了！

[kouryu]

某个接口有问题。一次能拉走全省的数据！改个编号继续拉！
姑且说之，姑且听之。

[lsyaaaa]

骗子可以出来工作了。。。。

[KevinChan]

是南京古称加分期的那家分期吗
知名度不高

[kouryu]

不是，
公司叫：安 xun ， app 好像叫“品 zhi ”

@lsyaaaa 骗子已经有数据库包了……

[yghack]

求确切消息

[kouryu]

@yghack 已经确切了，基本上锅坐实砸在技术人员头上了！
去年的时候某人和我说入职新公司的时候，我就瞄了一眼他们的东西。随便敲几个 url 参数就撸一串东西出来。接口也是一泡污。——当然不是提醒你们去拉数据。

经营方面：
靠群发短信，好像业绩也不错。渠道拿货价比官网价格低个 500 ，分期价格按照官网价格，免利息手续费。某月随便就有 1w 多台销量，（不知道真假！

其他方面，也没啥透露的，内部管理也是一泡污，老板一看就是法盲！大概这样吧

[kouryu]

更正一下，最后一句：老板就是法盲！
去掉“一看”，免得言辞充满片面性。

[yghack]

坐等数据泄漏

[kouryu]

@yghack 黑产已经在行骗进行时了！

[yghack]

@kouryu 已经找到接口了，我擦，真 tmd 没水平。

[kouryu]

@yghack 这是第二次泄漏，大概只要网站能跑通业务流程，他们就觉得 ok ！
上一次前段测试支付锁定 1 分钱，直接被拿去发布。搞了一堆一分钱买 iPhone 的订单。
这次泄露，惨的是用户喽，毕竟分还没还完，一不小心，不是被这波骗子得手也有可能被下一波得手……
上次有人说冲话费也有 bug ，想来我没去凑热闹，真是正直的令人脸红🙄️

[SkyKnight]

这种小公司的信安果然不靠谱啊

[yghack]

@kouryu 安全做的太差了

[kouryu]

@SkyKnight
@yghack
就这样依然挣钱啊。

[kouryu]

南京好多家搞互联网的真是一泡污
我家楼下的附近，某小贷公司搞的 p2p ， ios 程序员大概是：“同一个 viewcontroller 里的 view1 传值给 view2 ，要怎么写？有现成 demo 吗？”
某 dang ，劫持返利！上次有人说路过他们办公室，想在门口拉一泡大便。
另外的俩家 p2p ，有一家挺出名！
另一家不知道那里搞来的五年前资料通知我去面试！
然后就是一梭子的分期业务，搞得飞起！随便撸一下服务器就炸了！
各种拿程序员不当人，劳资纠纷在如果打印起来，可以盖小楼。
光吐槽，我都听出老茧了

[sobigfish]

“改个编号继续拉” 平行权限漏洞么。。。网上一搜一堆案例，居然还没引起重视...
虽然被关了，但索引还有
https://www.google.com.hk/search?newwindow=1&safe=strict&q=平行权限+site%3Awooyun.org

[kouryu]

@sobigfish 完全接口傻逼，不是防护弱智，根本没有防护。这次幸亏是前工作人员的代码，要不然又是闹腾个大事件

[kouryu]

@sobigfish 据说请了某安全公司，可怜用户又要被再卖一次

[kouryu]

@sobigfish 喷了，我描述的不够准确。我意思是拉完一个省数据之后改下一个省 id 继续拉数据。当然这个公司的事情我毫不知情，喝完酒的情况下手机误触随机拼凑出来的文字。

[imNull]

@yghack 真快，现在 app 服务器貌似已经关停了(无响应

[kouryu]

@imNull 难道不是日常宕机？

[imNull]

@kouryu 哈哈，这倒还真没想到。泄漏的接口是 app 的身份信息那里吧（坏笑～

[kouryu]

@imNull 不知道呢（笑