漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060035
漏洞标题：YY直播系统存在安全验证漏洞（可越权操作）
相关厂商：广州多玩
漏洞作者： 菜猿子
提交时间：2014-05-11 20:06
修复时间：2014-06-25 20:07
公开时间：2014-06-25 20:07
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-11： 细节已通知厂商并且等待厂商处理中
2014-05-12： 厂商已经确认，细节仅向厂商公开
2014-05-22： 细节向核心白帽子及相关领域专家公开
2014-06-01： 细节向普通白帽子公开
2014-06-11： 细节向实习白帽子公开
2014-06-25： 细节向公众公开
简要描述：
YY直播系统权限验证出现严重漏洞，涉及用户资金安全。
详细说明：
YY游戏直播，“开通守护”功能使用的是web页面，通过修改发送的数据可以绕过权限验证，为他人开通守护。
闲来无事，想帮YY语音加强下安全验证，无意中发现的这个很严重的问题（和钱有关了）。
希望YY官方能够尽快修复，保护用户账号内的资金安全，祝YY越(给)办(点)越(奖)好(励)。
漏洞证明：
进入YY语音客户端，打开使用游戏直播的频道（如90001），点击频道右上角的“开通守护”，弹出页面。
简单抓包可知，地址为：
注：地址中已去掉敏感数据，测试时请通过YY语音客户端自行获取对应链接。
使用chrome打开，然后右击审查元素，
，更改value值，选择开通时长，然后点击“立即开通”。
如果对应用户账号内Y币余额不足，会出错提示“Y币余额不足！”，同时提示内的Y币余额数值会变化。
如果对应用户账号内有足够Y币余额，会弹出付费确认（如果用户设置需要确认），然后提示“已成功开通主播守护者”。
由此可知，此处并没有验证用户的真实身份，可以通过此漏洞为他人开通守护，非正常途径花费对方Y币。
最后附上几个测试uid：2843071、134960612、133841207（随便找的，用于观察提示中余额数值出现的变化，测试时请选择520个月，不要真开通了。。。）
修复方案：
加入用户真实身份验证，保护用户资金安全。
版权声明：转载请注明来源 菜猿子@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-05-12 11:58
厂商回复：
感谢对于欢聚时代安全工作的支持，我们会尽快安排修复，多谢！
最新状态：
暂无