h4nk 1u November 9, 2019

<aside> 👉 NOTE: 11/10 兩個帳號都被檢舉停權了，沒有在用IG了，大家88。現在在IG上的都是假的。 留言板：https://cn.buddymojo.com/match/5cZw

</aside>

緣起

最近看到很多人開始在 IG 上用 「Buddymojo-好友挑戰」這個網站做問答，和之前有另一個網站「Buddymeter」長得很像，這類的網站都有很神奇的設計瑕疵，可以來玩一下。

過程解析

為什麼到處都能看到蘋果派56?

網址是連續的

網址設計成連續的關係(例如：2abb 的下一個人網址是 2abc)，所以可以隨意的拜訪其他人的問卷，只是大部分時候你會看到陌生人的問卷。

所以即便你沒有公開分享過，也可能會被填到。

看答案

在填完名字之後，網站會發一個 request 給 API 拿到一個 JSON

https://cn.buddymojo.com/api/v1/quiz/18?userQuizId={ID}&type=friend&stats=1

裡面有一些題目的資料和一個 questions 的 array 有全部的題目、選項和答案。

另外，我們可以觀察到query中的 userQuizId 就是 id ，而且是一個累加的值，所以我們可以一一取得所有人的問卷。

 "data": {
    "id": "1188662",
    "userId": "5301656",
    "quizId": "18",
    "themeId": "3",
    "maxScore": "10",
    "status": "1",
    "encUserQuizId": "4ZdY",
    "questions": [...]
}