上网被骗1元全过程

实际经历

网上付费1元，得到如下解锁的付费文本信息

本文付费阅读内容 - 已购买
微信运动修改 请点击链接打开：
http://free.douyin.pink/ (新站点)
下面备用！备用！上面可以用的不用管：
https://step.datu520.cn (备用)
注意⚠ 若出现不同步的情况，先取关“Amazfit跃我”公众号，然后再重新注册Zepp新账号进行微信绑定，在分享的第一个站点提交刷步就OK！

应用商店搜索了下Zepp发现就是原先的小米账号，下载安装后注册登录，接入第三方选择微信运动，保存二维码，扫一扫后关注公众号，这样前提条件就做好了，然后使用付费文本信息中的第二个网址，输入Zepp运动账号和密码，以及目标步数，提交后果然生效。

原理分析

没啥好说的，既然是网页那就F12走起，我随便输入假的账号和密码以及步数，点击提交后发现了一条Get请求，内容如下

https://apis.jxcxin.cn/api/mi?user=18071418545&password=345764&step=34243

user:18071418545

password:345764

step:34243

返回的JSON信息是

“code”: “201”,

“msg”: “请检查用户名和密码！”

我猜测这只是第一步验证登录小米账号的正确性，应该还有第二步，提交数据到小米APP（Zepp 后台）,接下来我用正确的账号密码经行抓包，步数大于第一次提交的，结果还是一次Get，这就尴尬了，看来我想多了，就是一个简单的Get而已，显示成功

https://apis.jxcxin.cn/api/mi?user=11879XXX32@qq.com&password=Cc5XXXXX@&step=37000

好奇这个域名是什么类型的网站，然后我就浏览器打开链接

https://apis.jxcxin.cn/

好吧，一个API Store，里面还有很多其它的免费接口可以调用，我知道我这个大冤种花了1元买的就是这个，打开步数修改，里面的信息一览无遗，这也太简单了

https://apis.jxcxin.cn/doc/mi.html