当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-011796

漏洞标题：揭秘国内一大型竞拍网站内幕交易、暗箱操作

相关厂商：某竞拍网站

漏洞作者： clzzy

提交时间：2012-09-06 10:10

修复时间：2012-09-06 10:10

公开时间：2012-09-06 10:10

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-09-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-09-06： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

揭秘国内一大型竞拍网站http://www.yxxpai.com/的内幕交易、暗箱操作

详细说明：

本文重点不在网站，也不在网站的漏洞，而在于竞拍这个行业的内幕。虽然大家都知道有机器人的存在，那为什么还是有那么多人还去注册，去竞拍呢？是因为他们没看到实实在在的证据！提供证据就是本文提交的目的！

漏洞证明：

网站概览：


数据库结构：


会员数（20几万）：


下图我通过注册一个账户并用update修改值证明了Tb_user表中的Point1是拍点，Point2是返点：


虽然SQLmap把我这句update返回了False，但实际上是成功执行了的。
我选了些商品，用成交者的名字去数据库查询Point1的数值，竞拍机器人出场：




尼玛，看到没有，这几个商品的成交者的拍点都是9个多亿~~意味着充值了900多万呢～～很明显，这是机器人。
那有多少机器人呢？我用一个SELECET查询了有100万以上拍点的会员数量，结果见下图：


从上面看到，拍点在100万以上的用户有3500多人~~尼玛，机器人这么多？亲，你拍得过机器人么？而且还这么多机器人！


看着网站的《公平承诺》就觉得好笑~~如同蒙牛、伊利一样烂，中国有良心的企业没几个，都是为了挣钱不择手段，坑蒙拐骗偷！

修复方案：

已通知客户

版权声明：转载请注明来源 clzzy@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：20 (WooYun评价)

漏洞评价：

评论

  1. 2012-09-06 10:44 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    给力啊

  2. 2012-09-06 10:54 | 小菜 ( 路人 | Rank:6 漏洞数:2 | 菜鸟一个，等有一天变成大牛了，还是叫小菜...)

    从第一张的备案号反推出了网站域名

  3. 2012-09-06 10:56 | Anony ( 实习白帽子 | Rank:38 漏洞数:5 | 乌云白帽子一枚)

    智能屏蔽竟然是透明的，直接暴露目标

  4. 2012-09-06 11:21 | Wdot ( 实习白帽子 | Rank:77 漏洞数:12 | it came too later)

    根据简要描述与第一张图倒数第二个商品，目测出网站域名

  5. 2012-09-06 11:33 | qiaoy ( 普通白帽子 | Rank:110 漏洞数:16 )

    第一张图备案左边域名根本没屏蔽好，仔细看。。。。。

  6. 2012-09-06 11:33 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    楼上都是看片高手

  7. 2012-09-06 11:35 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    屏蔽不彻底啊...同理还有神马竞猜贴士网...

  8. 2012-09-06 11:41 | HuGtion ( 实习白帽子 | Rank:70 漏洞数:10 | 学习安全技术。)

    ‘智能屏蔽’都看到了 -_-!!

  9. 2012-09-06 11:45 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    最喜欢看这种了。 流氓网站～～

  10. 2012-09-06 11:48 | 踏歌公子 ( 实习白帽子 | Rank:43 漏洞数:7 | 江湖夜雨卌年灯，一剑一箫入红尘！)

    目测为易拍网！

  11. 2012-09-06 11:54 | yy520 ( 普通白帽子 | Rank:139 漏洞数:12 )

    就是易拍网~

  12. 2012-09-06 12:01 | Mujj ( 实习白帽子 | Rank:58 漏洞数:4 | IDC商)

    不要怕，支持揭露

  13. 2012-09-06 12:27 | seclab_zju ( 实习白帽子 | Rank:78 漏洞数:11 | 白帽子土人一枚)

    支持揭露无良商家！顺便赞下高科技的智能屏蔽！

  14. 2012-09-06 14:12 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    目测yeepai

  15. 2012-09-06 14:23 | tpu01yzx ( 实习白帽子 | Rank:58 漏洞数:8 | test)

    http://www.yeepai.com/Auction/historylist.aspx

  16. 2012-09-06 16:00 | clzzy ( 普通白帽子 | Rank:176 漏洞数:18 )

    各位给我留个活口啊~~

  17. 2012-09-06 16:01 | clzzy ( 普通白帽子 | Rank:176 漏洞数:18 )

    那个智能屏蔽是我手工做的~~亲，不要见笑嘛~~

  18. 2012-09-06 17:28 | free ( 路人 | Rank:5 漏洞数:1 | 自由、平等、互助)

    给力

  19. 2012-09-06 21:17 | Vty ( 普通白帽子 | Rank:199 漏洞数:37 )

    牛掰

  20. 2012-09-07 09:04 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    把名字说出来的，真不厚道；推出来就行了；我用机器人名字，一google就有了……但是我不会告诉你是哪个的

  21. 2012-09-08 21:40 | Mujj ( 实习白帽子 | Rank:58 漏洞数:4 | IDC商)

    @小菜 @clzzy @一刀终情 我才不会告诉你们，第一张图的倒数第二个商品已经说了是哪个站了

  22. 2012-09-08 22:04 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @Mujj 哈哈，眼瞎了……洞主这是到处露点啊……

  23. 2012-09-13 14:00 | leehenwu ( 普通白帽子 | Rank:194 漏洞数:24 | 撸·啊·撸)

    漏点了

  24. 2012-09-27 12:37 | Nimda ( 路人 | Rank:13 漏洞数:3 | 人的欲望就是一个超级大坑，永远也填不满。...)

    表示通过倾斜屏幕的方式找到了露出的G点。

  25. 2012-09-28 23:44 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    楼主智能屏蔽亮了=-=~。

  26. 2013-02-27 14:16 | 紫梦芊 ( 普通白帽子 | Rank:138 漏洞数:9 | 踏踏实实做测试)

    @独立调查员 @独立调查员 @独立调查员 @独立调查员 @独立调查员 @独立调查员 @独立调查员 @独立调查员@独立调查员 @独立调查员 @独立调查员 @独立调查员

  27. 2013-06-07 20:52 | nyannyannyan ( 路人 | Rank:10 漏洞数:3 | 蒟蒻一枚)

    洞主试试用20E拍点拍下来看看会肿么样= =

  28. 2013-06-08 11:51 | clzzy ( 普通白帽子 | Rank:176 漏洞数:18 )

    @nyannyannyan 我试过了，把我号封了~~然后当啥事没有一样