实战教程|通过二维码我如何登录你的淘宝账号~

本文所示漏洞已经修复，标准的二维码登陆流程如下：

打开 web 界面进入登陆然后加载二维码。

网站开始轮询，来检测二维码状态。

打开手机 APP 进入“扫一扫”，扫描二维码。

网站检测到二维码被扫描，进入被扫描后的界面，继续轮询来获取凭证 。

手机 APP 进入确认登陆界面 (当点击确认登陆) 网站轮询结束获取到了凭证，进入个人中心;(当取消登陆) 网站轮询设定时间自动刷新页面。(调用 key 大佬的原话)

https://login.taobao.com/member/login.jhtml?style=miniall&from=&newMini2=true

https://qrlogin.taobao.com/qrcodelogin/qrcodeLoginCheck.do?lgToken=xxxxxxxxxx&defaulturl=&_ksTS=1523776773834_118&callback=jsonp119

每个二维码都有个相对应的 lgToken，只要相对应的二维码被扫描且登录 ，就可以通过监听 lgToken 的值就可以获取到该账号登录的权限。

这里他一直访问2个lgToken 的链接 ，其中有个是没用的。

那怎么判断哪个是真确的 ，哪个是没用的呢 ，这你需要打开那个链接 。然后，用手机淘宝扫描那个二维码 code 的值变成 10001 就是哪个。如下图

一开始code的值都是10000 。 拿二维码扫描过后，其中一个链接就会变成10001变成10001的那个链接就是二维码对应的。

如何文明上网，网警提示：

不在网上浏览不良信息。

网上有一些信息并不是很健康，那么，对于我们来说，一定要注意控制自己的欲望，不去浏览一些负面新闻，更不应该去浏览一些色情、暴力的网站，让自己自觉抵制不良内容。

不在网上侮辱他人。

我们利用网络，并不是只能浏览相关的网站和知识，还可以通过网络与外界建立一种练习，所以，我们在跟别人沟通的时候，一定要使用文明用语，不要在网上侮辱别人。

要增强自我保护意识。

我们在网上与人交往，不要随意与网友见面，更不要将自己的信息泄露给网友，因为网友有很大的隐蔽性，我们不能够准确识别他的真实身份和用意，以免发生上当受骗。

不参与网络敏感话题。

如果网络上对于某些敏感话题提出了讨论，我们应该注意把握话题的严肃性和政治性，不要任何话题都参与讨论，对于一些敏感的或者反动的话题，要及时制止，不参与，不散播。

如何文明上网，网警提示：

不在网上浏览不良信息。

网上有一些信息并不是很健康，那么，对于我们来说，一定要注意控制自己的欲望，不去浏览一些负面新闻，更不应该去浏览一些色情、暴力的网站，让自己自觉抵制不良内容。

不在网上侮辱他人。

我们利用网络，并不是只能浏览相关的网站和知识，还可以通过网络与外界建立一种练习，所以，我们在跟别人沟通的时候，一定要使用文明用语，不要在网上侮辱别人。

要增强自我保护意识。

我们在网上与人交往，不要随意与网友见面，更不要将自己的信息泄露给网友，因为网友有很大的隐蔽性，我们不能够准确识别他的真实身份和用意，以免发生上当受骗。

不参与网络敏感话题。

如果网络上对于某些敏感话题提出了讨论，我们应该注意把握话题的严肃性和政治性，不要任何话题都参与讨论，对于一些敏感的或者反动的话题，要及时制止，不参与，不散播。

秋蝉博客www.100msh.net