漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-047312
漏洞标题：360某商城接口设计不当可导致无限制操作
相关厂商：奇虎360
漏洞作者： 沦沦
提交时间：2013-12-30 11:35
修复时间：2013-12-30 13:18
公开时间：2013-12-30 13:18
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-30： 细节已通知厂商并且等待厂商处理中
2013-12-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
360某商城无限抽奖
详细说明：
问题出在360积分商城里，首先我注册了一个号，我看了一下有一个积分抽次的活动，然后我就开始我的MJJ之路。
问题在：http://jifen.360.cn/index/lotteryrich.html
首先我点击抽奖用自己的积分抽了一次
![U]W)GV3D(CFM2]3[8X]M_F8.jpg](https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/201312/291409427344c01f5a1acfa667dee43bee0d86f4.jpg)
然后再抽一次，提醒积分不够
漏洞证明：
现在我再点击抽奖，然后抓包
在抓到的包我们可以看到lbid的数就是可以抽奖的积分，我们把它改为0看一看
现在可以再次抽奖啦，但没抽奖。。
我抽了N次，都没中，我懂了点什么。
修复方案：
这个你们比我懂啦。。
版权声明：转载请注明来源 沦沦@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-12-30 13:18
厂商回复：
感谢您的反馈，因您的行为触发我们的恶意检测，所以虽然可以抽奖但是永远不会命中
最新状态：
暂无
漏洞评价：
评论
-
“因您的行为触发我们的恶意检测，所以虽然可以抽奖但是永远不会命中”，这个设计挺有趣
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)