作者a29174332 (BigAnna)
看板MayDay
标题[情报] 扭蛋忘记电话协助查询
时间Sat Dec 30 16:27:16 2023
17:38再更新
相信音乐真的有驻版人员，相关个资封包全部被修掉了
不过你们又把旧的後门打开了XD
如果找不到电话号码的板友可以趁现在快查
再次修掉之後估计就没办法了
========================================================
17:07更新
这个洞被修掉了，大家可以回家了
如果确定自己的电话是正确的但是查询不到，请在你的电话後面加上%20试试看
因为这支报名程式在捞资料库的时候不会把空白去除
若你当初报名有误按空格的话就会必须输入%20才能查询到
供各位参考
相音人员如果有看到这篇的话，希望你们在query的时候不要把不必要的data拉进来
我甚至能看到信用卡号前六码加上後四码+一堆我的报名个资
另外在比对user的手机的时候也trim一下吧，太多人都是因为空格而查询不到
礼拜六工程师还驻板加班辛苦了
=========================================================
刚刚看到脸书及ptt有许多人无法查询扭蛋纪录
本人刚好是资讯相关科系，职业病犯了
爬了一下扭蛋页面的运作方式，发现有後门没关可以查到电话
因此写了一个阳春的网站协助大家查询，网址如下：
https://imbiganna.github.io/mayday.html
介面非常阳春，只需要选日期及订单编号即可查到电话号码
再透过查到的电话号码至相信音乐网站查询即可
本站不会搜集各位的任何资料，相关程式码也开源於下方Github Repo中
https://github.com/imbiganna/imbiganna.github.io
若有疑虑请不要使用
希望能帮助各位版友找回属於自己的扭蛋
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.232.81.51 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MayDay/M.1703924838.A.6D2.html
1F：推 ryan890812: 欸不是OAO 加上电话栏位不就是为了避免被有心人士乱按 12/30 16:30
2F：→ ryan890812: 兑换嘛OAO 结果是可以被查出来的嘛OAAAAAAO 12/30 16:30
没错，相信音乐的门只关了一半，而且也完全没公告，资安角度看瞎到不行
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 16:31:28
3F：推 ryan890812: 我刚刚也看了一下 直接call api就可以 资安到底在干嘛 12/30 16:33
正解，而且query出来的不只是电话而已，剩下的就不多说了，只能说这个网站完全没有
任何资安可言
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 16:36:10
4F：推 Yshing1206: 多事之秋演唱会在即，所以扭蛋之乱2.0我本不想再骂， 12/30 16:38
5F：→ Yshing1206: 但相信音乐真的是(怒怒怒！ 12/30 16:38
6F：→ Yshing1206: 这公司拥有人类平均智商的到底有几个？ 12/30 16:39
7F：推 ryan890812: 我看到json了...细思极恐所有资料都可以query到欸 12/30 16:40
8F：推 riss: 太搞笑了，该庆幸自己没有参战吗 12/30 16:41
9F：推 weitn29: 好唷～所以有心人要捞到所有资料，个资就外泄了？ 12/30 16:43
10F：→ Yshing1206: 你相信音乐TMD快改啊！糙！ 12/30 16:44
11F：推 sophymayday: 居然！ 相信音乐有在保护歌迷资料吗？ 太扯了吧！ 12/30 16:44
其实这个洞还是需要有正确的日期+订单编号两者同时匹配上才能够找出来
因此除非暴力解或是运气很好刚好猜到，否则还是不会找到电话号码的
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 16:46:02
12F：推 kk2245514: 这个个资外泄…… 12/30 16:45
13F：→ sophymayday: 刚刚另篇看有人推文担心萤光棒app安全不用，我还想 12/30 16:45
14F：→ sophymayday: 说应该不会吧，没想到相信音乐真的不能让人信任欸 12/30 16:45
萤光棒App倒是不用担心，就是BLE协定而已，没什麽个资问题，可以放心
15F：推 ryan890812: 我看懂原理了== 在SearchResult的网页相因自己就这样 12/30 16:46
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 16:47:15
16F：推 sophymayday: 呼～原PO解释完，我安心多了～ 12/30 16:48
17F：推 hanji77: 这操作好猛... 12/30 16:56
18F：推 sappheiros: 现在查不到了，"userPhone" is required。 12/30 16:59
19F：推 ryan890812: 好 修掉惹 12/30 16:59
20F：→ ryan890812: 但他回传的json还是包了全部的资料 扯== 12/30 17:00
大家可以回家了，相信音乐修掉了，看来相音还是有驻板人员在XD
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:02:32
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:12:10
21F：推 linjuju: 上了一堂资安，哈哈 12/30 17:19
22F：推 withmusic: 和朋友的4连号现在有3张查不到，相音提供的手机後3码也 12/30 17:20
23F：→ withmusic: 不是我们原本登记的电话，现在也等不到回信(无奈 12/30 17:20
24F：推 oscar8721184: 欸现在我怎麽都查不到…… 网站有修好吗？ 12/30 17:29
25F：推 ryan890812: 楼上看要不要再寄信给客服并提供手机请他们回拨，说可 12/30 17:29
26F：→ ryan890812: 以提供刷卡资讯给他们验证订单本人 12/30 17:30
28F：→ wendy00558: 昨天寄信到现在 完全没收到回信 很棒～ 12/30 17:35
29F：推 sadaharu: 相信音乐真的让人无法相信，跟取名一样，缺什麽名字就 12/30 17:36
30F：→ sadaharu: 叫什麽！！ 12/30 17:36
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:40:28
31F：推 karenaashin: 可是我进去查还是有电话栏位，而且还是查无，怎麽这 12/30 17:41
32F：→ karenaashin: 样 12/30 17:41
K大趁现在漏洞又开，先用我的网站赶快找回自己的扭蛋吧
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:42:10
33F：推 linjuju: 我也还是要电话 12/30 17:41
34F：→ linjuju: 查了就显示Network error 12/30 17:42
35F：推 hsiuching: 我的也还要电话，而且跟l大出现一样的讯息（我原本输入 12/30 17:44
36F：→ hsiuching: 电话订单都正常）这麽多天了这系统还没处理好... 12/30 17:45
37F：推 yvette1107: 我用A大的网址查，居然出现未报名，可是登记隔天2笔订 12/30 17:46
38F：→ yvette1107: 单都有查到成功和扣款 12/30 17:46
39F：推 hsiuching: 看来这扭蛋之乱没完没了... 12/30 17:47
40F：推 sappheiros: 那个网站资料比对不到都是显示未报名，但不一定真的没 12/30 17:47
41F：→ sappheiros: 报名。 12/30 17:47
42F：推 karenaashin: 还是一样啊！打了正确的电话还出现五迷知道了 12/30 17:47
K大你不介意的话可以站内我日期+订单编号，我帮你试试看
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:49:23
43F：推 oscar8721184: 感谢原Po大大 已经查到电话了 12/30 17:55
44F：→ oscar8721184: 但那个网站还是显示 Network error 超鸟…… 12/30 17:55
45F：→ oscar8721184: 我的情况同楼上Karen大 打了正确资讯还是error哈 12/30 17:57
现在会Network Error超正常，因为相音工程师把正确API URL指去localhost了
我现在怀疑工程师是不是当大学生专题在做了...
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 17:59:42
46F：推 sappheiros: 应该是紧急改程式，上版没改好，localhost也太妙。 12/30 18:07
有好好写测试的话根本不该发生这种低级错误，在正式环境发布成localhost真的超瞎
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 18:09:56
48F：推 minnie1218: 一开始扭蛋网站也是显示错误，但刚刚再去试一次已经可 12/30 18:55
49F：→ minnie1218: 以成功查询到了～大家可以再去试看看噢！ 12/30 18:55
51F：推 axixi: 看到这篇文也去查了一下，结果跟楼上一样... 12/30 19:01
52F：推 zyyy151: 六点半的时候查一直出现五迷知道了，但刚刚再去查就有跑 12/30 19:03
53F：→ zyyy151: 出报名序号了！希望明後天也可以顺利跑出序号QQ 12/30 19:03
54F：推 Yshing1206: 刚查我2笔都正常，我当时是直接用手动打电话号码，不 12/30 19:05
55F：→ Yshing1206: 是剪下贴上，不知这样是不是有影响？ 12/30 19:05
56F：→ casekinkong: 查不到，都是电话错误啊… 12/30 19:05
57F：→ Yshing1206: 当时剪下贴上的人，如果还是不行，之前是先存在哪里 12/30 19:08
58F：→ Yshing1206: 等报名的时候直接剪下贴上的，不如重演一次看看吧 12/30 19:08
59F：推 zyyy151: 我报名时是复制贴上的，查询目前都有出现序号！不知道问 12/30 19:08
60F：→ zyyy151: 题出在哪…. 12/30 19:08
61F：→ Yshing1206: 因为网站看起来修改过，也非常的阳春，我在想有没有可 12/30 19:15
62F：→ Yshing1206: 能记忆了当时的格式，所以现在用手打数字进去就不一 12/30 19:15
63F：→ Yshing1206: 样了XD 12/30 19:15
64F：推 oscar8721184: 比较常见的就是复制贴上 没注意到会多打空格 12/30 19:37
65F：→ oscar8721184: 毕竟空格根本看不出来 12/30 19:37
66F：推 wendy00558: 我是手动输入的 12/30 19:38
67F：推 oscar8721184: 反正电话号码不对就试试加个%20 12/30 19:41
68F：推 tips1222: 我手打手机号码都查不到，前面加上一个空格就查询到了 12/30 20:15
69F：推 yanice427: 朋友七点查到，现在又查不到，到底相音在玩什麽QQ 12/30 20:44
70F：推 mahoyazi: 我查询全都是电话号码错误，相音又不回信，明天该怎麽 12/30 20:56
71F：→ mahoyazi: 办呀… 12/30 20:56
72F：推 Faoitohins: 有心人要捞应该可以捞? 台湾人个资真的很好卖的QQ 12/30 21:25
若有板友是明天12/31场次，但是登不进去扭蛋系统的请站内我订单编号
我可以协助你查询，这次的方法比较偏我就不公开了
暂时仅帮忙12/31的，其余日期请先找相信音乐优先
※ 编辑: a29174332 (36.232.81.51 台湾), 12/30/2023 21:31:28
73F：推 b731863888: 赶快把别人的扭蛋都给他对换掉，这样相信才会重视， 12/30 21:32
74F：→ b731863888: 超扯的资安，有跟没有一样，这个可以报案个资外泄吧 12/30 21:32
75F：推 oscar8721184: 这次就要涨价使用线上付款 结果搞得问题一堆 唉 12/30 21:57
76F：推 nicky0619: 三颗只查到两颗…傻眼。 12/30 21:58
77F：推 mevellous: 我付款完就没查了 反正票在我手上 资料也都是我 不可能 12/30 22:05
78F：→ mevellous: 现场查不到吧OAQ 12/30 22:05
79F：推 sophymayday: 我觉得明天问题很多，他就会改成用截图也可以XD 12/30 22:31
80F：推 sappheiros: 用截图机率不大，因为没兑换要退款。除非又有其他配套 12/30 22:35
81F：→ sappheiros: 措施。 12/30 22:35
82F：推 b731863888: 反正资料外流把几千人的都给兑换这样就好了，让大家 12/30 22:52
83F：→ b731863888: 没得抽很棒，烂死了的资安，由够扯，个资外流都没事 12/30 22:52
84F：推 nicky0619: 刚刚再试查查不到的那颗，突然又查得到了 12/30 23:46
85F：推 aishiteru816: 刚刚重新把自己报名成功的场次都查过 12/31 00:24
86F：→ aishiteru816: 是都有出现资料的，目前查还是要输入电话 12/31 00:24
87F：推 smartfen: 惨了看不懂 12/31 01:01
88F：推 f12345678900: 一个相关科系 就可以找出漏洞 这家公司真的很神奇w 12/31 04:34
89F：推 axixi: 有点担心今天扭蛋的状况...@@ 12/31 08:51
90F：→ jiunmoon: 可能会先网路塞车吧，那边讯号也不怎好 12/31 11:54
91F：→ loneblast: 推 12/31 14:05
92F：推 mimzyzhu: 突然想到我刷完扭蛋就被盗刷3290游戏币了QQ不知道跟这 12/31 20:42
93F：→ mimzyzhu: 次有没有关系 12/31 20:42
94F：推 a927mayday: 请问扭蛋时 12/31 22:31
95F：→ a927mayday: 需要注册时的电话吗 12/31 22:31
96F：推 wallyisme: 现场扭蛋服务区可以查电话号码 01/01 01:21