关于阿里月饼，感觉很多人都刻意忽视了一点

[Radiums]

所有的争论都在讨论使用脚本是否正确。但是秒杀的时候是需要验证码的。知乎上的回答也证实了，是利用 CSRF 绕过验证码。所以我觉得这个应该算是利用了漏洞。只不过出发点不是谋取不当利益，没有造成损失而已。

[seki]

我想了解用 csrf 怎么绕过验证码

[LeeCabala]

同问，我想了解用 csrf 怎么绕过验证码。

[levn]

你看错了。

“(这系统服务端没验证 csrf token,还能绕过图形验证码提交)”

此贴终结。

[jiang42]

云舒不是说验证码是明文 hardcode 在 js 里的么？

[nopy]

程序本身有漏洞，和是否使用脚本是两码事啊。

[cctvsmg]

笑。。 楼主显然没做过安全
中国人搞的打码服务一大堆啊，比如打码兔，而且提供 8 种语言 api ，直接调用就可以秒破验证码，一条不到一分钱的样子，这样识别是不是也是钻漏洞？
另外给楼主科普下，打码兔如果复杂验证码，后台有农民工在识别，这样没用到科技了，是不是还是利用漏洞？

[Phariel]

楼主 是没有 csrf token 验证 并且验证码是 hardcoding 在源码里的 你怎么看成一个了？？？

[kiwi95]

利用 CSRF 绕过验证码。。。。吓得我以后都不敢加 csrf token 了

[kiwi95]

楼主你看帖要仔细点，自己也要判断，不要听的风就是雨，老想搞个大新闻，然后把我们批判一番

[zohan]

写这个有漏洞程序的人，还在阿里

[DemonFinn]

楼主第一次发帖就被你们这样打脸，不太好吧。