漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-019067
漏洞标题：返利网make money漏洞
相关厂商：返利网
漏洞作者： 谱外符
提交时间：2013-02-24 11:33
修复时间：2013-04-10 11:33
公开时间：2013-04-10 11:33
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-02-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-04-10： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
返利网make money漏洞，要多少造多少
详细说明：
返利网转换V币功能未对转换金额做严格校验，导致可以兑换负值，在后台执行简单的相减操作后，金额就变成了正数了，然后可以执行提现操作，不知道人工审核的时候是否会仔细核对资金明细，如果没有仔细核对，就危险了。
漏洞证明：
各位看官看我如何造钱：
点击转换V币
关闭JS，提交
太神奇了，金额变成了100，不敢相信自己的眼睛，这钱太好造了
这钱不敢提，还是变回去吧
修复方案：
罚开发该功能的程序员50RMB充值到我手机上，漏洞就修复了。
版权声明：转载请注明来源 谱外符@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝