如何利用澎湃新闻网站的漏洞？

澎湃新闻的点赞按钮无需登录就可按赞，也不会限制IP，只会根据Cookie判断。这就很有意思了，于是我打开浏览器控制台看了一眼点赞的请求。

点赞的时候会请求praise这个API（api.thepaper.cn/contentapi/content/interaction/praise），请求方法为POST，请求载荷为：{“contId”:”27860519″,”origPraiseNum”:”0″} ，其中包含文章ID和原点赞量，那么是否代表它不会在后端验证已有赞数呢？

处理规则可能是，在前端获取原有赞数之后，后端完全不校验，直接在原有的基础上+1，然后插入数据库，返回给前端新的赞数。那么如果我们将习近平有关的文章的赞数使用Python一直设置为8963，那么+1之后就是8964。或者可以插入负数或超大的数，让数据库错误。

这些都有待研究，我不是专业黑客，因此无法请求API进行测试。各位在测试时请使用台湾或香港的代理，其他国家无法访问。