WooYun.org

这是激活码邀请申请入会进行身份验证出的逻辑验证不严的问题.没有对身份进行验证。
在这之前.我发现了激活码申请入会这个地方,有个很奇葩的地方。可以进行文档表格导出查看激活码。这个功能本来是为了方便OW，但我换位思考，把自己设想成多玩的技术,一般人都会忽略进行2次验证。
这里也是利用了隐藏表单提交的手法，
于是我习惯性的打开firfox 安好firbug
本来直接想用firbug进行调试,但是我习惯了打开burp进行抓包
如图:

其中invitecodecount 代表是激活码数量
expireDate 代表时间
inviteciderole 代表激活码的马甲身份 这图里的100 代表的是会员数值是100 嘉宾则是80
最下面的这个jsessionid 是官方这几天加的验证..官方前几天就注意到我这个问题,但是没封完善。我还没提交乌云就先处理了。可能我身边太多接触的官方朋友吧.
这里的jsessionid 是对导出的频道序列号文档进行的验证。
我们这里抓包修改频道号 其中 sid 就是频道号 修改成想要的频道就可以任意在任何ID卡任何马甲了...不过多玩的技术现在加了这个验证.但是没有对验证的身份.时间。以及其他参数进行验证.
所以接下来。。我们直接在inviteciderole 这个数值 修改成其他任意的数值。
就代表着一个官方不存在的马甲，样子跟系统卡了的时候的临时嘉宾一样显示灰色。
如图:

这个马甲 连OW都不能权限.也不能踢。配合之前的卡任何ID的漏洞 十分严重.
刷什么广告,也不能踢人.不过好在没人发现.我就测试了赶紧提交了.
在所在公会信息里显示的是
如图：

我认为这个漏洞挺严重的.而且没有几个人知道,所以赶快提交了.自己测试卡了几个,请多玩的技术哥哥看到跟秩序组的哥哥姐姐们说声别封我的号.往歪歪投了好多心血了.
我一直都是一名白帽子并以身做则,没有拿这个干坏事情.也是虾哥论坛的一员.一直联系不到厂商。有些漏洞不能积极反映。
爱多玩好久了。求厂商联系。求个5位歪歪激活码吧。