AA拼车漏洞3#（AA拼车设计不当可批量修改全站用

我们修改自己的密码抓下包 发现如下接口

后面的serviceKey是个摆设 对任意用户都生效

去官网找个活跃用户 替换掉号码测试
 

返回值比对
 

登陆测试 成功了

搞个手机号码库 用burp遍历一下 全站用户的信息就到手了！！！ 我保证不是你同行！哈哈！