当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-019067

漏洞标题:返利网make money漏洞

相关厂商:返利网

漏洞作者: 谱外符

提交时间:2013-02-24 11:33

修复时间:2013-04-10 11:33

公开时间:2013-04-10 11:33

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-02-24: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-04-10: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

返利网make money漏洞,要多少造多少

详细说明:

返利网转换V币功能未对转换金额做严格校验,导致可以兑换负值,在后台执行简单的相减操作后,金额就变成了正数了,然后可以执行提现操作,不知道人工审核的时候是否会仔细核对资金明细,如果没有仔细核对,就危险了。

漏洞证明:

各位看官看我如何造钱:

1.png


点击转换V币

2.png


关闭JS,提交
太神奇了,金额变成了100,不敢相信自己的眼睛,这钱太好造了

3.png


4.png


这钱不敢提,还是变回去吧

5.png

修复方案:

罚开发该功能的程序员50RMB充值到我手机上,漏洞就修复了。

版权声明:转载请注明来源 谱外符@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论

  1. 2013-02-24 21:11 | noah ( 普通白帽子 | Rank:384 漏洞数:40 )

    make money....

  2. 2013-02-24 23:24 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    这么亮的标题 居然没有关注?

  3. 2013-04-10 17:08 | xsleaf ( 实习白帽子 | Rank:52 漏洞数:5 | 探索无尽的网海~)

    洞主 真不如造点钱划算