京东漏洞找怎么找

京东的京东漏洞赏金计划挂在security.jd.com，注册个账号就能看到范围。漏洞但真正的找找问题从来不是“在哪里提交”，而是京东“怎么找到别人没挖过的点”。

我见过太多人一上来就扫后台、漏洞测越权，找找结果撞了一鼻子灰。京东京东的漏洞SRC收漏洞很挑，普通反射型XSS直接忽略，找找存储型也得看位置——你往商品评价里塞个脚本，京东人家早就有WAF盯着了。漏洞

换个思路。找找京东的京东弱点是它的复杂度。一个系统活了十几年，漏洞中间换过架构、找找接过大促、搞过各种营销活动，历史包袱全堆在角落里。比如老版本的移动端接口，有些还跑在HTTP上，参数校验松松垮垮。去年有人就在一个废弃的“领券中心”接口里翻出了SQL注入，那个接口连前端入口都关了，但后端服务没下线。这种漏洞，扫不到，只能靠逻辑推理。

另一个方向是业务逻辑错位。京东的plus会员、京豆、优惠券体系层层嵌套，规则复杂到连客服都说不清。你仔细看“价格保护”功能——申请价保时系统会比对当前价格和购买价格，但如果商品下架了怎么办？有个老哥发现，把商品ID改成同类但更贵的SKU，系统居然认了，白嫖了几百块差价。这不算高危，但京东照单全收，因为涉及资金风险。

还有供应链那摊子事。京东的第三方商家后台和自营后台是两个体系，权限边界有时候很模糊。你注册个商家账号，试着访问自营的订单查询接口，路径上差一个数字，可能就跨过去了。去年有人就靠这种“跨租户访问”拿到了其他商家的客户手机号，评级直接是严重。

别忽略移动端。京东APP的组件化做得极其复杂，WebView和原生代码之间夹着大量通信桥。你去抓包看那些“hybrid”接口，经常能发现参数是明文传的。改个userId试试，运气好就能看到别人的购物车。这种漏洞不深，但胜在量大。

最后说个土办法。京东每年618、双11前会临时上线一堆活动页面，这些页面生命周期短，测试往往不到位。大促前一周去盯他们的“秒杀预告”“红包雨”这类功能，经常能捡到权限校验缺失的漏。活动一结束，漏洞还没修，但奖金照发。

说白了，挖京东的洞，拼的不是技术多炫，是你愿不愿意去翻那堆没人看的旧文档、老接口和边缘业务。他们安全团队确实强，但再强的团队也堵不住历史遗留的缝。你只要比他们更了解京东自己，就赢了。