我登录163,然后打开修改密码的页面:地址如下:
“http://reg.163.com/setinfo/ChangePasswd_1.jsp?noheader=0&username=277145699”
“277145699”是我的用户名。
当我把地址改成“http://reg.163.com/setinfo/ChangePasswd_1.jsp?noheader=0&username=277145698”(换成不是自己的用户名),然后按回车。网页提示:超时或非法请求 。
然后我又改成自己的用户名:http://reg.163.com/setinfo/ChangePasswd_1.jsp?noheader=0&username=277145699,按回车,网页提示:您还尚未登录,请您先登录!这个是什么机制的?
如何做到这个效果?望高手指点一下!

解决方案 »

  1.   

    肯定是不允许在url直接输入先解析它277145699
    登录页传过来直接输入277145698
    或许是没有用户
    如果是存在该用户
    直接输入它
    可能与你之前的登录状态对比了,不正确
    不然别人的信息都到你那了
    但是277145698是被接收了
    出错后,可能给清空了
      

  2.   

    你换了用户名, 但是这个用户名又没有通过登陆验证, 当然"非法"了. 登陆验证可不是在URL上加个用户名就可以通过的, 不要给URL上的username迷惑了.
      

  3.   

    可是如何来判断url已经被修改了呢?