请不要把任何和邀请码有关的内容发到 NAS 节点。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
邀请码相关的内容请使用 /go/in 节点。
如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。
这是一个创建于 1511 天前的主题，其中的信息可能已经有所发展或是发生改变。
1 、通过互联网，用 DDNS 也行，用 Quickconnect 也行，一定要从群晖管家的 IOS 客户端进去；
2 、在客户端里面找到“DSM mobile”，点进去从右上角设置里面选择“桌面模式”；
3 、进桌面模式后，从右下角跳转到 Safari ；
4 、进去以后，就可以从地址栏复制这个地址，如果是“https://****.com/?forceDesktop=1”这种地址，就没有问题。
5 、如果这个分享地址变成这样的“https:// ***.com/?_sid=（一大段特征码）”，这时候无论你把这个地址发给谁，他都能不用认证直接访问并管理 NAS 里面的所有数据。
2 、在客户端里面找到“DSM mobile”，点进去从右上角设置里面选择“桌面模式”；
3 、进桌面模式后，从右下角跳转到 Safari ；
4 、进去以后，就可以从地址栏复制这个地址，如果是“https://****.com/?forceDesktop=1”这种地址，就没有问题。
5 、如果这个分享地址变成这样的“https:// ***.com/?_sid=（一大段特征码）”，这时候无论你把这个地址发给谁，他都能不用认证直接访问并管理 NAS 里面的所有数据。
 | 1 elfive 2021-11-06 20:45:55 +08:00 via iPhone 成功复现 |
 | 2 phpfpm 2021-11-06 20:56:06 +08:00 请问你为什么要发呢 |
 | 3 Xusually 2021-11-06 20:57:18 +08:00 这个等于把 token 发给别人了 |
 | 4 SingeeKing PRO 这不是漏洞，就像是 token 一样，只不过它直接放在 url 里面（为了在 Safari 打开也可以同步登录状态），同时这也会在一定时间以后过期的 |
 | 5 azmeo OP @SingeeKing 技术小白，我还以为发现了大 bug ，求问一般多久后过期哈 |
 | 6 bao3 2021-11-07 10:31:36 +08:00 via iPhone 你自己的 token 当然是发送后别人能打开你的东西…… |
 | 7 Hawthorne 2021-11-07 15:37:40 +08:00 via ndroid 那包含 sid 的那个地址是怎么获得的呢？ |
 | 8 ytmsdy 2021-11-07 17:35:05 +08:00 再某些特定场景下也实际应用场景，比如说读取到了你的访问记录，或者在局域网内进行 APP 攻击时，是可以看到用户的访问 URL 的。 |
 | 9 HDF 2021-11-08 14:57:29 +08:00 其实把 token 放到 url 里面也算是一种低危的安全漏洞 |
 | 10 th00000 2021-11-08 18:21:24 +08:00 理论上 token 应该设计成放在 header 里面 bearer 字段里面吧 |
Select Language