原本今天下午第一节是马克思，但是我平常中午不回宿舍，于是我睡过了。(嘤嘤嘤）
https://www.freebuf.com/column/162397.html
根据这篇文章，我们可以总结出在
1. 前端加密(一般都是账号不加密，密码加密)的情况下，我们可以通过密码反向导出账号，这个我已经会了，这个就是为啥我能免费上网的原因。。
2.如果一个邮箱在找回密码的时候，要注意url是否含有找回邮箱的账号，打个比方，我想用我的账号找回密码的时候，发现可以用我的手机找回其他人的密码。这个漏洞利用的后端开发的时候没有对手机号和邮箱进行双重验证，要找个邮箱和手机号匹配上才能构成重置密码。ps:估计开发的人当初这样想的，找个账号先存在，然后呢手机号必须保证正确，好了，完事，上线，上线，完工啦。这个漏洞很长时间没有见过了，放到几年前可能会有，但是现在一般都不会有了吧。。(果然我还是太菜了，不能分享出一些干货(菜鸡落泪)
3.burp那个没看懂意图。。。
4.注入，管理员登录的地方注入，这个我可遇见过了，有注入，这个我打比赛到时候碰见过一次，千万千万别只尝试注册就放弃了，还有登录功能要尝试啊。唉，一把心酸泪。。。
总结完毕
ps:深信服的防御就是好啊，稍微一点探测就被限制了，就404了
深夜再次根据freebuf里面的一篇文章学习下
https://www.freebuf.com/articles/web/151617.html
在设计购买请求的时候，一定要设置要必须为正数，要不然就会产生0元支付问题，相关漏洞，有空就复现
burp还可以生成csrf-poc 这个真的是学习到了，之前我还以为csrf必须是自己构建的才能是可以生成poc，没想到还可以是用burp。不过burp生成的是poc对现实生活中只能是给用户演示吧，还是用exp比较爽啊。这个要记录下，回头复现的时候，我要多多用到。把这些总结总结，估计以后我再会回顾的时候，还是会看到的。