安全測(cè)試小組首先對(duì)協(xié)議安全進(jìn)行了安全測(cè)試，手機(jī)客戶端采用的HTTP協(xié)議，通過https/http代理攔截技術(shù)可以劫持請(qǐng)求，通過WIRESHARK基于端口的嗅探可抓取明文數(shù)據(jù)。

通訊安全

1、登錄數(shù)據(jù)傳輸測(cè)試
通過對(duì)登陸過程進(jìn)行抓包，發(fā)現(xiàn)數(shù)據(jù)采用明文方式進(jìn)行傳輸，未對(duì)用戶名及密碼進(jìn)行加密，可以通過嗅探獲取賬戶密碼

2、查詢功能
查詢框未對(duì)長(zhǎng)度進(jìn)行限制，且未對(duì)查詢信息進(jìn)行加密。
在查詢框中，輸入長(zhǎng)字符，通過burp suite對(duì)會(huì)話進(jìn)行劫持，發(fā)現(xiàn)提交給服務(wù)器的數(shù)據(jù)并沒有對(duì)輸入字符長(zhǎng)度做限制，并且未對(duì)查詢信息進(jìn)行加密

功能安全

1、短信DDOS攻擊
在注冊(cè)新用戶時(shí)，需要向指定手機(jī)發(fā)驗(yàn)證碼，發(fā)送驗(yàn)證碼后，需要等待180s才能再次發(fā)送，且注冊(cè)過的手機(jī)號(hào)，無法發(fā)送驗(yàn)證碼。但這只是在前端做了限制，通過劫持通訊數(shù)據(jù)方法，可以造成短信DDOS攻擊。
通過burp suite進(jìn)行劫持，可以修改phoneNum為任意手機(jī)號(hào)碼（包括以前注冊(cè)過的手機(jī)號(hào)），重復(fù)提交該會(huì)話，系統(tǒng)會(huì)不停的給客戶手機(jī)發(fā)驗(yàn)證碼，這對(duì)客戶造成一定影響。

2、獲取大量臨時(shí)體驗(yàn)卡
每個(gè)賬戶只能申請(qǐng)一次臨時(shí)體驗(yàn)卡，當(dāng)用戶填寫相關(guān)信息，收到激活碼后，用戶再次點(diǎn)擊48小時(shí)臨時(shí)體驗(yàn)，將會(huì)返回“尊敬的用戶，您已經(jīng)免費(fèi)體驗(yàn)過銀卡功能”，但是通過在第一次申請(qǐng)臨時(shí)體驗(yàn)卡時(shí)，對(duì)通訊數(shù)據(jù)進(jìn)行劫持，并反復(fù)提交該會(huì)話，服務(wù)器會(huì)返回不同的激活碼，這些激活碼可以在任何時(shí)間，給任何一個(gè)普通用戶提升到銀卡權(quán)限。這樣就可以使用戶一直可以擁有銀卡權(quán)限，還可以給其它未填寫相關(guān)信息用戶提升到銀卡權(quán)限。

3、查看未展示的文件資料
可以查看一些關(guān)于基金的介紹，任意打開一項(xiàng)文件資料，修改docID為其它值，提交回話，這時(shí)會(huì)返回另一篇文件資料，而該文件資料經(jīng)查詢未在基金學(xué)院中顯示，因此可以利用該漏洞，查看任意文件資料，可能會(huì)造成敏感信息泄露。

4、多個(gè)賬號(hào)綁定一個(gè)手機(jī)號(hào)
在賬戶中心中的綁定手機(jī)號(hào)功能，在該功能中，輸入一個(gè)已注冊(cè)的手機(jī)號(hào)，會(huì)提示該手機(jī)號(hào)已注冊(cè)，并無法發(fā)送驗(yàn)證碼。但是通過輸入一個(gè)未注冊(cè)的手機(jī)號(hào)，在獲取驗(yàn)證碼時(shí)進(jìn)行劫持，修改手機(jī)號(hào)為已注冊(cè)的手機(jī)號(hào)，把輸入框中改為已注冊(cè)手機(jī)號(hào)，并提交會(huì)話，會(huì)在已注冊(cè)的手機(jī)號(hào)中收到驗(yàn)證碼，這時(shí)客戶端會(huì)自動(dòng)給服務(wù)器發(fā)送驗(yàn)證手機(jī)號(hào)請(qǐng)求，劫持修改請(qǐng)求中手機(jī)號(hào)為未注冊(cè)手機(jī)號(hào)，并提交。輸入驗(yàn)證碼，點(diǎn)擊確定，發(fā)現(xiàn)手機(jī)綁定成功，這樣可以實(shí)現(xiàn)多個(gè)賬號(hào)綁定同一手機(jī)號(hào)。