基佬App 9Monster API分析

呃,为什么会分析这个呢,是因为上个月去鹿儿岛撸柴犬(https://instagram.com/shibainu_lintaro),然后和饲主在咖啡厅瞎聊的时候顺便抓包看了下,因为他想写个bot刷等级(不是很懂帅哥的想法),而且最近这个App收到的垃圾信息也挺多的,于是掏出某个一直被用错地方的工具抓包。

Start

启动App的时候会向”https://api.ninemonsters.com/initial/get”附上auth_key和version获取基本信息,然而这App最骚的居然他喵的连Session都不弄一个,附上auth_key就能获取数据,安全性约等于0。

返回的包括auth_key的所有者的个人信息,以及小广告和人气用户的信息。所有时间相关都是Unix timestamp+000,只能说骚哭了。

Home

进入主界面后会先向”https://api.ninemonsters.com/push/regist”注册自己的最新地理信息及PUSH用的ID,然后会返回实际地址及记录在系统中的地址(我这种付费用户的功能)

同样的地理数据去掉PUSH用的ID之后向”https://api.ninemonsters.com/location/get”请求附近的基佬,返回JSON里面有附近基佬的public_key和图片信息和距离位置等,而且他喵的还附带图片上传时间!!!依然是Unix timestamp+000,App里提供了根据地图搜索的功能,看了下共用一个Api,增加’longitude”latitude’即可获取对应坐标的列表,根据三点判断距离,你即可获取一个基佬的准确定位(不要乱用谢谢)

Pic

前面拿到的JSON里面都会有图片名字对吧
“https://cdn.ninemonsters.com/images/square/”
“https://cdn.ninemonsters.com/images/original/”
GJ!

Msg

“https://api.ninemonsters.com/message/send”
附上自己的auth_key和对方的public_key即可发送消息,依然没有任何session认证。。。

Like&Breeding

“https://api.ninemonsters.com/breeding/add”
“https://api.ninemonsters.com/like/send”
去掉上面的message即可。。。

总结

抱歉各种实现和安全都太骚了,我没办法总结了(等等感觉暴露了我用基佬App的事情

发表评论

电子邮件地址不会被公开。 必填项已用*标注