WooYun.org

包括但不限于：久方，普耐尔，智多星，安得乐，WONSEE，魔力爸爸，锋立，亦青藤等。
全站所有接口都存在越权操作的问题，以获取位置信息为例：
这是我购买的手表获取位置信息的接口，设备id为1452052741，这个id是依据不同代理商进行区间划分的，而同一个代理商的手表这个id是连续的

我改成其他的id试试：

可以看到直接获取目标设备的位置信息了，看看这个位置在哪里。

位置在：浙江省宁波市镇海区骆驼街道金华村西南方向，地图可以看具体位置
除了接口越权外账号id越权还可导致父母的手机号码泄露：
下面的是我的账号信息

现在改一下：

看看结果

可以看到守护电话，也就是家长电话了
接口url：
http://agpsd.3g-elec.com:8080/app/public/S10APP/findLastPosition?did={devid}&did_id={did}&language=zhCN
除了该接口外，其他接口都可以账号id和设备id越权
基于影响数量评估，我们跑了一个代理商的设备区间，九方代理商的设备号码区间是1451353766到1452249909，一共看到了27万多的入网设备，这只是一个代理商的设备哦，例如亦青藤代理商的区间是在0802148934左右。