漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034216
漏洞标题：某Android手机游戏设计缺陷(内存修改+游戏人物名导致SQL异常)
相关厂商：波克城市
漏洞作者： C4nf3ng
提交时间：2013-08-13 17:37
修复时间：2013-09-27 17:38
公开时间：2013-09-27 17:38
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：2
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-13： 细节已通知厂商并且等待厂商处理中
2013-08-14： 厂商已经确认，细节仅向厂商公开
2013-08-24： 细节向核心白帽子及相关领域专家公开
2013-09-03： 细节向普通白帽子公开
2013-09-13： 细节向实习白帽子公开
2013-09-27： 细节向公众公开
简要描述：
某手机网游存在设计缺陷
详细说明：
最忌某屌丝给我推荐了 仙魔九界OL这个andiroid网游 下来玩随手发现的==
a
可以通过修改内存提升等级 虽然不能真的在服务器端达到那个等级 但可以提升攻击力
ps：推测等级类人物数据保存在服务端而攻击等数据运算在本地进行从而可以 通过此类修改刷过boss
b
其实不算什么漏洞就是看着不爽……
注册完，给人物起名字时候随手起名叫NULL然后
就看到了这个
不过名字不能大于5字 且不能包含"空格"
后来断网试了下发现仍然有上述限制
推测 如果修改本地客户端的验证机制 可能会引发sql注入
不过本屌丝不太懂android程序 所以就到这里了算是给厂商提醒吧……
漏洞证明：
a
b
修复方案：
你们懂得……
版权声明：转载请注明来源 C4nf3ng@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2013-08-14 16:52
厂商回复：
修改内存不造成影响，人物名取名细节问题正在处理，感谢反馈！
最新状态：
暂无