发现微博 mobile web 版的登陆接口完全不设防

地址： https://m.weibo.cn 登陆接口： https://passport.weibo.cn/sso/login

不用抓包工具，直接用 chrome dev tools 就可以找到接口，没有验证码（试了几十次没有遇到过）， Post 的账号密码数据也没有加密.... 是因为是测试版的缘故吗？

分享一下我模拟登陆的代码：

const superagent = require('superagent')

const weiboLogin = (username, password) => {
  const loginApi = 'https://passport.weibo.cn/sso/login'
  const formData = { username, password }
  const headers = {
    'Referer': 'https://passport.weibo.cn/signin/login',
    'Content-Type': 'application/x-www-form-urlencoded'
  }
  return new Promise((resolve, reject) =>
    superagent.post(loginApi)
      .set(headers)
      .send(formData)
      .end((err, res) => {
        if (err) reject('something went wrong.')
        try {
          const { rawHeaders, text } = res.res
          const cookie = rawHeaders.filter(item => item.startsWith('SUB='))
                           .map(item => item.split(';')[0])
                           .join()
          const uid = JSON.parse(text).data.uid
          if (uid === undefined) reject('wrong password or username')
          resolve({ cookie, uid })  // uid: user ID
        } catch (err) {
          reject('something went wrong.')
        }
      })
  )
}

weiboLogin('username', 'password')
  .then(res => console.log(res.cookie))
  .catch(console.error)

项目地址是 https://github.com/fytriht/weibo-cleaner

laoyur

2017-02-18 18:06:02 +08:00

@Jaylee #7 加密是不能保证被模拟登录，我关注的点是明文密码传输。最理想的情况，我当然希望我的密码不要被明文入库，或者新浪被拖库后我的明文密码不会被爆出来咯
当然如果政策要求或者其他原因得不到这样的保障，我也一点办法也没有。不过这并不妨碍我有“不要明文传输密码”的诉求啊

Quaintjade

2017-02-18 19:33:22 +08:00

@laoyur
SSL 本来就是让应用层不用操心加密的事。既然是 HTTP over SSL ，那么 HTTP 用明文传输并没什么问题。

你担心明文入库那是另一个问题，和明文传输没必然关系。
如果你信不过网站的人品的话，更好的办法是用密码管理软件给每个网站设不同密码。

laoyur

2017-02-18 20:09:23 +08:00

@Quaintjade #13
@langmoe #15
的确明文入库和明文传输没必然关系，明文传输（确切说是原始密码传输）到服务端后，并不能证明服务端就明文入库。但如果能在源头就杜绝了原始密码传输，让其对服务端都不可见，那不是能最大限度防止原始密码被泄漏么。当然，可能我过于理想化了。

@billlee #14 我的意思是原始密码传输，如引起误解请见谅

@Jaylee #16 一言不合就让我多读书，谢谢你的意见，对的，谁都应该多读书。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/341416