今天下午闲着刷手机，突然弹出个"欲望之戒官网大促"广告。我寻思着最近老看到这牌子，索性亲自试试水，看看它家官网到底安不安全。说干就干，直接抄起电脑开整。
第一步：查户口本
我下载了腾讯的御点查了一下域名，发现备案号是沪ICP证开头，在上海网信办备过案。又顺手查工信部官网，输入备案号跳出个服装公司信息，法人叫张建军，注册资本实打实500万。接着扒了企业年报，发现参保人数28人，社保都正常缴着。
- 备案状态：正常
- 企业信用：有实体办公地
- 经营状态：续存中
小编温馨提醒：本站只提供游戏介绍，下载游戏推荐89游戏，89游戏提供真人恋爱/绅士游戏/3A单机游戏大全，点我立即前往》》》绅士游戏下载专区
第二步：上刑侦手段
打开Chrome的开发者工具，开始扒它家页面代码。点支付页面的时候，地址栏挂着HTTPS加密标识，F12里显示证书签发机构是腾讯云。正准备关窗口，突然注意到结账页面的联系电话格式不对，直接暴露在HTML里的完整手机号，连个JS加密都没做。
这还没完
- 扒表单提交功能时，发现地址栏参数居然是id=10086这种明文
- 测试输了个单引号'提交，页面直接报SQL语法错误
- 购物车cookie有效时间设了半年，心也太大了
实战踩雷体验
我专门注册新账号下了单测试。整个过程倒是顺畅，支付宝扫码支付完10分钟就收到短信发货通知。但重点来了：第二天我用虚拟号码拨官网400电话查单号，客服张口就报出我注册时填的真名！挂电话马上查隐私条款，果然藏着条"订单处理需要收集实名信息"，字号小得跟蚂蚁似的。
最骚的操作来了
- 过了三天收到短信说会员升级送优惠券
- 点链接跳转的二级域名居然http开头
- 填资料时顺手点F12，密码框type=password后面跟着明晃晃的text
血泪总结
这波操作下来感觉像在裸奔。官网没被篡改，信息对得上，付款也不怕盗刷。但隐私保护跟筛子似的：明摆着保存用户真实信息，SQL漏洞伸手就能捅穿库，会员系统还敢用HTTP！前阵子315曝光的简历泄露事件，就是这么中招的。
唠叨两句
大伙儿网购真要多个心眼。付款前先看地址栏有没有带锁图标，注册别用常用密码，收件地址写成"某丰驿站"就至于实名认证？能拖就拖！反正我现在网购只用小号，收货地址都写小区快递柜。
