漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-049030
漏洞标题：UCloud 订单处理严重逻辑错误 可刷余额(已证明)
相关厂商：UCloud
漏洞作者： 猪猪侠
提交时间：2014-01-16 01:45
修复时间：2014-03-02 01:46
公开时间：2014-03-02 01:46
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-16： 细节已通知厂商并且等待厂商处理中
2014-01-16： 厂商已经确认，细节仅向厂商公开
2014-01-26： 细节向核心白帽子及相关领域专家公开
2014-02-05： 细节向普通白帽子公开
2014-02-15： 细节向实习白帽子公开
2014-03-02： 细节向公众公开
简要描述：
UCloud 订单处理严重逻辑错误 可刷余额(已证明)
为了客户使用得爽，果然还是得付出惨重的安全代价！！！
详细说明：
#1 问题描述
https://uhost.ucloud.cn/bandwidth/create_shared_bandwidth_package
升级网络共享带宽处，如果以购买过的主机含有带宽，系统将自动创建一个退款的订单，而后再让用户购买一个更高级的带宽包（价格更高）。
#2 重复这个动作，获得一堆退款的订单
当我以为每个订单都可以支付的时候，系统给我返回错误，说同样类型的订单只能支付一次，在这里我差点就放弃继续测试了。
也就是说，服务器做了判断，确保只能退一次款。
#3 华丽的功能带来华丽的漏洞
当我发现能够成功创建一堆退款订单，但是不能每个都支付的时候，着实让我蛋疼了一把，当时还想着，要不多线程利用数据库事务反应的时间差来刷点钱？
这时候发现自己50K的ADSL小猫，也能玩高富帅才能耍的多线程并发请求吗？
想想还是算了（真的也就算了，有那个资源的高富帅们可以尝试一下！
漏洞证明：
#4 最后还是被我找到了另外一个功能
UCloud为了客户爽，搞了个订单批量支付的玩意，结果那个判断是否重复退款的功能就失效了！
https://account.ucloud.cn/account/order?order_no[]=201401161705090997&order_no[]=201401161703727504&order_no[]=201401161699962185&order_no[]=201401161692556875&return_url=https://uhost.ucloud.cn/bandwidth
#5 看到执行错误，我以为又失败了
结果无意间看到余额，你懂得！只要多退了余额回来就行了，执行成功不成功你还关心吗？
）。
修复方案：
# 华丽的功能需要做华丽的判断。
~! 我是用正常用户做的测试，请别封号呀，里面还有我自己的余额的！
版权声明：转载请注明来源 猪猪侠@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-01-16 16:59
厂商回复：
感谢您的报告，问题已经修复。
最新状态：
暂无
漏洞评价：
评论
-
如果弄个风控，公司封一批帐号还能赚钱
( 普通白帽子 | Rank:686 漏洞数:101 )