当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-028109

漏洞标题：TechWeb投票表单可重复提交刷票

相关厂商：techweb

漏洞作者： 蒋小灰

提交时间：2013-07-08 12:21

修复时间：2013-08-22 12:22

公开时间：2013-08-22 12:22

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-08-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

今天TechWeb上面刊登了每经和360的支持投票，晚上7点多时候360票数暴涨。然后看了下投票页面，这做的也太不严谨了。

详细说明：

555.jpg


简单的投票-》后退-》投票。发现仍然可以投票，初步判断存在刷票漏洞。

漏洞证明：

写了个非常简单的模拟POST程序。
进行测试。
1、测试开始时候票数和时间。

1.jpg


2、开启刷票程序模拟POST一段时间后后的票数。

2.jpg


3、关闭刷票程序后的票数。

3.jpg


4、关闭刷票程序后又过了一段时间的票数。

4.jpg


修复方案：

1、限制投票IP不可重复。
2、加入验证码。
3、投票数据每次都不一样。
3、设置最短投票时间间隔。

版权声明：转载请注明来源 蒋小灰@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论

  1. 2013-07-08 12:23 | %22 ( 路人 | Rank:16 漏洞数:3 | 啪啪啪有益身心健康.)

    @蒋小灰 我擦 360这是刷票了？

  2. 2013-07-08 12:26 | %22 ( 路人 | Rank:16 漏洞数:3 | 啪啪啪有益身心健康.)

    7月7日的投票截图：http://a.ikafan.com/attachment/forum/201307/07/134837pcjeiknjsfkwdiii.png

  3. 2013-07-08 14:52 | 蒋小灰 ( 路人 | Rank:5 漏洞数:3 | 成功三要素。1坚持2不要脸3坚持不要脸)

    @%22 360到底刷了没我不知道，但是昨天晚上几个小时里面360从5000多票一下子到了690000+票，同时投票的网站确实存在刷票漏洞。同时这个刷票速度目测不是几台电脑可以达到的。目测是团体所为，可能是360做的，也有可能是其他团体栽赃炒作。一切尚未定论。

  4. 2013-07-08 23:39 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @蒋小灰 是不是用代理ip就可以刷了

  5. 2013-07-13 09:06 | 蒋小灰 ( 路人 | Rank:5 漏洞数:3 | 成功三要素。1坚持2不要脸3坚持不要脸)

    @小胖胖要减肥 没有限制IP，直接POST就刷上了。