1.创建新用户

2. 观察验证码接收平台

有个/get_phone.php的接口是获取测试手机号的 我们猜测该接口拼接至/api/后会不会获取所有用户的手机号等信息呢

提示缺少参数 page limit,构造成/api/get_phone.php?page=1&limit=10

获取到vip账号，手机号等信息。

3.尝试登录

使用vip手机号发现验证码无法进行重放等操作。换种思路到验证码接收平台，发现/get_phone.php中的返回包可以篡改，改成vip手机号即可接收验证码登录。