漏洞一、主站存在登录口爆破
抓包，爆破一下
爆破成功
漏洞二、检测app时一处存储xss
在app登录后
我要提问那里插入xss
然后弹窗
可以打到cookie
漏洞三、app个人资料处平行越权可查看大量用户（用户id可以遍历出来）
点开个人资料 然后代理抓包
可以看到 包以get的形式请求了URL
http://m.91taoke.com/index.php/user/12170145
然后访问看看
此处已经可以看到email了
只需要变动id就可以切换用户了
然后在数据包里遍历下来已经注册的id
再更换之前的数据包 放包 便可以查看到用户信息了
修复漏洞 不要用uid来判断
四、某分站后台弱口令
http://xiaogan.91taoke.com/admins/login.php 账号：admin 密码：admin
