黑洞咖啡馆绕过邀请码注册成功，我把这个发出来纯粹为了好玩，建议把这个漏洞补一补。PS：能不封我账号吗?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3706 天前的主题，其中的信息可能已经有所发展或是发生改变。

@neoz （话说创建主题能at人么？）

前几天忙着到处去吃高价饭（参加婚礼），刚刚看到“黑洞，新宇宙。V2EX 特别暗号”，发现已经来晚了。看大家回复得那么热闹，感觉好像还挺有意思的。
（请注意，以下步骤中的代码故意写的有问题，照抄可是不能正常运行的哦。）

可是，没有邀请码肿么办？那就尝试一下能不能绕过咯。
1，试试邀请码coffee4us以及随便输入一个邀请码 -> 提示错误
2，浏览一下注册页面的代码，用的是bootstrapValidator来验证，另外页面中写了一段js代码来初始化bootstrapValidator。这东西没用过，没关系，去找官网看看api。
3，然后很顺利得就发现了貌似可以在chrome的console下这样做，form.bootstrapValidator('updateStatus', 'invitecode', 'VALIDATED')，前面的错误提示消失了
4，点击注册，又出现了错误提示，估计提交的时候还会再验证一次
5，没关系，重新找一个api－－form.bootstrapValidator('removeField', 'invitecode')
6，点击注册，由于填的邀请码是“111”，提示验证码不存在。诶，有戏！
7，再来，把邀请码改为别人用过的，例如“coffee4us”
8，Mission Complete!

如果给站主带来什么麻烦，提前说一声抱歉啦。
要解决上面这个问题，需要在后台再判断一下，用过的或者过期的邀请码不能再用，就好了。

最后，再ps一次，能不封我账号么？我不会干坏事的！！！

邀请码

invitecode

coffee4us

164 条回复 • 2014-11-23 21:33:55 +08:00

1 2

❮

❯

Lucups

2014-10-07 00:31:50 +08:00

我不会把这个秘密告诉别人的，前提是楼主你快给我个邀请码：）

winterock

2014-10-07 00:36:31 +08:00

@Lucups 这。。。。。。绕过的方法都发出来啦，趁现在还行得通赶紧去注册一个就是了啊，还要邀请码干嘛？

yy1983

2014-10-07 00:41:40 +08:00

这……膜拜大神中~就算发出来了~我也没看懂……

ipconfiger

2014-10-07 00:53:08 +08:00

ReferenceError: form is not definedmessage: "form is not defined"stack: (...)get stack: function () { [native code] }set stack: function () { [native code] }__proto__: Error

Laobai

2014-10-07 00:54:50 +08:00 via Android

不明觉厉

ipconfiger

2014-10-07 00:59:23 +08:00

测试失败

luckykong

2014-10-07 01:00:47 +08:00

哦哈哈哈哈，新技能get~~顺利成功~希望不会封号

llbbzh

2014-10-07 01:03:18 +08:00

@neoz 已经补上了

ipconfiger

2014-10-07 01:03:20 +08:00

@luckykong 几时成功的？不会这么点背吧，刚看到服务端已经封了

Lucups

2014-10-07 01:03:49 +08:00

@winterock 开玩笑的啦~我已经有付费的代理了，看到没人回复，特地来支持一下的~ ：）

ipconfiger

2014-10-07 01:04:19 +08:00

neoz

2014-10-07 01:04:28 +08:00

前些天在处理邀请机制的时候急着有事情，就匆匆忙忙的做了简单的验证。以至于现在的状况。很感谢对于BUG的反馈~不会封号的拉，善意折腾的用户是好用户

luckykong

2014-10-07 01:05:48 +08:00

@ipconfiger 就在我发消息前一分钟成功的~

ipconfiger

2014-10-07 01:07:15 +08:00

@luckykong 慢了一步，失败，洗洗睡了

neoz

2014-10-07 01:12:02 +08:00

@ipconfiger
发现自己有一个
bf58432148b643a8b4c41c3901b81d1b 默默地送给夜猫子

hapboy

2014-10-07 01:14:04 +08:00

@neoz 用不了……发了个感谢，能否给一个……

slowfei

2014-10-07 01:14:09 +08:00

刚想试试洞洞，
发现有码
bf58432148b643a8b4c41c3901b81d1b
（已使用）

接力
13e0413a1acb5c259d9da6efa1657e70

ipconfiger

2014-10-07 01:39:01 +08:00

http://www.gravatar.com/avatar/bf58432148b643a8b4c41c3901b81d1b

ipconfiger

2014-10-07 01:39:49 +08:00

@neoz 以为是好玩的解密游戏

aliuwr

2014-10-07 01:44:51 +08:00

我的方法直接粗暴。
在页面内嵌的代码中看到 invitationCode 一段，认为 remote 是关键字。
打开 Firebug, 将 bootstrapValidator.min.js 格式化，搜索 remote, 直接在 2728 行下断点，修改返回值 a.valid 为 true。

建议楼主下次发现问题先尝试联系网站相关人员，避免给其带来恶性的后果。

aheadlead

2014-10-07 01:47:00 +08:00

@slowfei 邀请码错误或已被使用

zhigang1992

2014-10-07 02:09:13 +08:00

邀请码是现有用户邮箱的MD5吗？

zhigang1992

2014-10-07 02:19:03 +08:00

@neoz 还真的是呀～～～加个盐吧
翻了翻把这位仁兄的邀请码给用了 @fypyyzr
给大家接力吧
6e38023fb202d0261c75359d81402729

13k

2014-10-07 02:23:34 +08:00 via iPad

I took this 6e38023fb202d0261c75359d81402729

dinghua

2014-10-07 02:28:05 +08:00

@13k 求邀请码

13k

2014-10-07 02:31:02 +08:00 via iPad

be03d2094262d536da895425153f2d8b

dinghua

2014-10-07 02:36:11 +08:00

接力：
cc86401757f4da37874831eb6da0e8bd

HELLODC

2014-10-07 03:32:03 +08:00

求接力啊！！

Havee

2014-10-07 07:14:03 +08:00

没人接力了？

liyandong

2014-10-07 07:55:08 +08:00

快，我要邀请码。[email protected]

RIcter

2014-10-07 08:13:31 +08:00 via iPhone

看这样子没做后端验证？
又不像没做后端验证的样子…什么神奇原理…

我直接post data可以么

frozenfall

2014-10-07 08:26:36 +08:00

frozenfall21#gmail.com
放假只顾玩去了，没有来呢~~~谢谢啊~~~

karonl

2014-10-07 08:42:50 +08:00 via Android

真诚求暗号 [email protected]

letitbesqzr

2014-10-07 08:50:25 +08:00

monkeysqzr#gmail.com

omoyouo

2014-10-07 08:55:24 +08:00

完了，接力断了。jluwangyx#gmail.com

gerorim

2014-10-07 09:03:31 +08:00

@frozenfall

接力：
0c9a1c8c9b9ddff88050331a7415d3ed

mmmiao

2014-10-07 09:04:02 +08:00

求一枚邀请码 [email protected] ，谢谢啦

evilangel

2014-10-07 09:08:52 +08:00

好吧，原来邀请码是邮箱MD5加密字符串，刚拖了一下，找到@winterock 兄弟的邮箱MD5转了下测试注册成功了，在此说声抱歉跟谢谢。最好改进一下！
另外送上接力：942dd536997a91113dc2ed566d917279

20140930

2014-10-07 09:09:53 +08:00

用了36楼的，接力de2f094cadc06786924b664695201437

evilangel

2014-10-07 09:11:04 +08:00

哈哈，才发现原来@winterock就是楼主。。。希望@neoz 尽快修复吧~PS，不会删我账号吧？

Mcatt

2014-10-07 09:22:29 +08:00

求邀请码接力！

MexiQQ

2014-10-07 09:23:02 +08:00

断掉了嘛？？求接力啊

MexiQQ

2014-10-07 09:23:34 +08:00

@20140930

Moker

2014-10-07 09:32:24 +08:00

s试了下上面的全部使用过了求接力

mimomi

2014-10-07 09:34:39 +08:00

求接力阿

zhanghan276(#)gmail.com

wanjun

2014-10-07 09:49:38 +08:00

@neoz 邀请码bug

palytoxin

2014-10-07 09:56:22 +08:00

看了域名习惯性的登录了xcafe.com...

neoz

2014-10-07 10:21:32 +08:00

@evilangel 看来还是应该加加盐~

LittleTodd

2014-10-07 10:29:42 +08:00

发一枚邀请码 989380ba6e0ac0bf45ef92ee4d1f2b76

zzetao

2014-10-07 10:34:42 +08:00

@LittleTodd 已使用

sandideas

2014-10-07 10:38:08 +08:00

@zzetao 求接力。。

bingowrt

2014-10-07 10:38:44 +08:00

@palytoxin 卧槽。。。我打开了.com结果卧槽差点被我爸我妈看到。。

dotpig

2014-10-07 10:40:49 +08:00

@zzetao 接个力吧

cjjia

2014-10-07 10:43:35 +08:00

f88e8c9f69d98b83cf8cd7f01cd7f5ec

dotpig

2014-10-07 10:45:35 +08:00

@cjjia 谢谢分享，已经使用。我继续接力，并提议使用者也接一下力：

19b515bf6f3e853d14830c6d558d957f

nopy

2014-10-07 10:46:18 +08:00

@dotpig 感谢。
接力
67321b2b6f576400ed90bf58bd7938c6

mimomi

2014-10-07 10:47:11 +08:00

@nopy 已用求接力

sandideas

2014-10-07 10:47:21 +08:00

@nopy
已用。接力。
2e470c91e1f0050f0527dbed5cd8a8f7

tolbkni

2014-10-07 10:53:41 +08:00

@sandideas 已用求接力

mimomi

2014-10-07 10:54:58 +08:00

@tolbkni
接力
877a78f5d4f29d0636ad0f296742abd9

tolbkni

2014-10-07 10:55:33 +08:00

@mimomi 有人比我快……

xspoco

2014-10-07 10:56:07 +08:00

@mimomi
已用，接力

cd96025a68af41e1bc16b1b7979f3556

tolbkni

2014-10-07 10:56:52 +08:00

@xspoco 姨妈，都在 F5，网速不给力啊

Brook

2014-10-07 10:57:55 +08:00

@xspoco
已用，接力
adc5afd1b39bbab3c4aefa1c9962b49f

tolbkni

2014-10-07 10:58:47 +08:00

@Brook 已用，接力

85ddbdbf380b3fa3a0ec21463a85b101

ChangeTheWorld

2014-10-07 11:00:13 +08:00

@tolbkni 已用，接力

308313d2d0e5f2a41ed2a95df08490eb

ybh37

2014-10-07 11:01:17 +08:00

@ChangeTheWorld 已用谢谢
接力

b038c35dd0853fc4426b217e86be4dfa

lioekas

2014-10-07 11:01:56 +08:00

已用 4287605e94e666f9b511e9def032a0ec

kaguca

2014-10-07 11:05:05 +08:00

@lioekas 好人一生平安，已用
接力
1af16a4cee88b546a90a497c6bde3780

chinafeng

2014-10-07 11:05:15 +08:00

怎么没有人接力了

lisx

2014-10-07 11:06:59 +08:00

@kaguca 接力
ccefcc90bfc6c4f0fe63c18ea93471bd

chinafeng

2014-10-07 11:08:13 +08:00

@lisx 已经失效...谁给用了也不说话，呜呜

nuist

2014-10-07 11:09:44 +08:00

@chinafeng ccefcc90bfc6c4f0fe63c18ea93471bd

zzNucker

2014-10-07 11:14:52 +08:00

用了的接一下力哈~

wmq5451532

2014-10-07 11:16:42 +08:00

@neoz 需要闲置服务器吗？

chinafeng

2014-10-07 11:19:21 +08:00

@nuist 又被使用了...没人接力

winterock

2014-10-07 11:19:51 +08:00

@ipconfiger 你这就是心急吃不了热豆腐啊。我一开始就说了代码不能照抄呀，前两条评论里面可以看出你没有仔细去看懂代码，把我故意写错的地方改过来。看别人@luckykong 多机智。

@Lucups 谢谢你呀，我正式授予你“捧场王”的称号，哈哈。

@llbbzh @neoz 动作真快呀。佩服。谢谢不封号。

@aliuwr 如果是严重的问题，我当然会私下联系站主，但是这个问题，其实没有任何破坏性，最多多几个用户注册，如果站主觉得这样不妥，把新注册的删掉就是了。

winterock

2014-10-07 11:22:21 +08:00

@evilangel 小老弟，你把我的唯一的邀请码用了，这样真的好吗？哈哈，不过为你的机智点赞。