街旁網更改郵箱處未驗證token，可通過攻擊者精心構造的乙個表單修改掉中招者的郵箱，然後就可以找回密碼達到劫持的目的了。由於郵箱需要唯一性，所以可以通過乙個陣列來隨機抽取郵箱。
poc:
劫持前劫持後
由於這樣過於明顯（訪問後會直接跳轉到修改郵箱的頁面），所以可以在另外乙個正常的頁面（如乙個部落格）中iframe這個exp，並且width=0，height=0，這樣就可以在使用者不經意之間劫持賬戶了。
修復方案：
涉及使用者資訊的操作一定要驗證隨機的token
python實現街旁自動簽到
coding utf 8 import mechanize import cookielib import sys from beautifulsoup import beautifulsoup class checkin def init self,url self.br mechanize.br...
呆子談營銷 從街旁網的倒閉開始談起
街旁，其實是乙個既陌生又熟悉的名字。熟悉的原因是2012年流行lbs的時候，街旁搞出了乙個簽到的玩意，然後結合本地商家服務，推折扣優惠 陌生的原因是，一直沒用過，沒什麼可以吸引我的地方。從商業模式上來講，街旁真的沒什麼可吸引人的地方。結合本地商家服務，這個實際上在做的一大把，58，趕集網，大眾點評，...
莫大的吸引了趕街網的流量
相對於任何乙個新手站長來說，大家在三兩個月內的激情一定是高漲的。然而，三兩個月後沒有取得自己滿意的效果，然後就變得慢慢沒落。好比我們做 大家設想的是我這個 一定有行業前景，使用者慢慢多了，我就能賺錢了。其實等我們真正做的時候才發現事情沒有我們想象的簡單。如果運營思路不正確，營銷模式不完善，很大程度上...