当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-065458

漏洞标题:百度首页2014巴西世界杯竞猜应用刷分bug

相关厂商:百度

漏洞作者: 小虫

提交时间:2014-06-19 09:56

修复时间:2014-08-03 09:58

公开时间:2014-08-03 09:58

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-06-19: 细节已通知厂商并且等待厂商处理中
2014-06-19: 厂商已经确认,细节仅向厂商公开
2014-06-29: 细节向核心白帽子及相关领域专家公开
2014-07-09: 细节向普通白帽子公开
2014-07-19: 细节向实习白帽子公开
2014-08-03: 细节向公众公开

简要描述:

百度首页目前有个世界杯的竞猜活动,这个活动存在bug,每天可以额外领取很多积分。

详细说明:

首先,我对于自己第一次提交bug的态度表示歉意,当时过于着急,就没仔细说明。
我用的是火狐浏览器,当然谷歌也可以,在登录了百度之后,就相当于拿到了cookie信息,这时打开控制台,在里边输入js脚本,可以直接与服务器通讯。
1.每日签到,可以通过高并发的原理,就是一个for循环,999次,最少成功3次,最多的时候成功了7次。这个技巧是先不要登录帐号,直接请求,这时百度会封了你的ip,让你输验证码,输完之后就可以放心请求了,否则请求被封,成功率大大下降。
示例代码:

for(var i=0;i<999;i++){
$.ajax({
"url": "http://www.baidu.com/home/xman/submit/worldcupgetpoint",
"type": "post",
data: {
"_req_seqid": "",
"bsToken": "",
"sid": ""
}
});
}


你没有看错,参数为空都可以!!
2.原理和1相同,只不过请求的地址换了换,这个是在线听歌,每日+10分。
示例代码:

var _sid = bds.comm.indexSid;
var _bsToken = $("#bsToken").val();
var __req_seqid = s_session.seqId;
for(var i=0;i<999;i++){
$.ajax({
"url": "http://www.baidu.com/home/xman/submit/worldcupmusic",
"type": "post",
data: {
"_req_seqid": __req_seqid,
"bsToken": _bsToken,
"sid": _sid
}
});
}


3.这个也是最严重的bug了。本来设计的预想是每当使用一个百度首页的卡片,像什么“团购”、“星座”之类的,就奖励10分。虽然这些卡片的数量是有限的,但是每个卡片都有id,我们可以构造一个不存在的id,来骗取积分。很遗憾,百度有没有过滤,真的成功了,而且每天都能刷,一天600左右积分。这个技巧是,如果发现代码无效,试着把_wordcupIndex这个基数换一换,比如改成-10,或者9999之类的。一定能成功!

var _wordcupIndex = 10;
var _sid = bds.comm.indexSid;
var _bsToken = $("#bsToken").val();
var __req_seqid = s_session.seqId;
var _ids = "";
setInterval(function(){
_wordcupIndex++;
_ids = "1,2,9,3,"+_wordcupIndex+",4";
$.ajax({
"url": "http://www.baidu.com/home/xman/submit/supermod",
"type": "post",
data: {
"_req_seqid": __req_seqid,
"bsToken": _bsToken,
"cmd": "add",
"id": _wordcupIndex,
"ids": _ids,
"sid": _sid
}
});
},1000);

漏洞证明:

我的百度帐号是kpdown
今天早上没刷的时候是20分

2014-06-19_09-32-38.png


刷完之后,变成了660分

2014-06-19_09-34-37.png


正常情况下,一天时间,不可能获得这么多(竞猜赢的不算)。

修复方案:

对于1和2,高并发的漏洞很难控制,效率和安全不可兼得,具体如何处理,要看百度技术的决策。
但是3这个漏洞,就很让人生气了,像登录那样验证一下有没有加过分不就可以了。。。我真怀疑是不是故意的。
鉴于这个活动的奖品丰厚,希望百度能够重视。
我是一名java web开发,对于白帽测试,不是那么专业,但希望能够多学习,见谅!

版权声明:转载请注明来源 小虫@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-06-19 11:06

厂商回复:

我们会尽快处理此问题,感谢对百度安全的关注。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-06-19 17:48 | 丁小乐 ( 路人 | Rank:0 漏洞数:1 | 新手上路)

    好贱啊。。刷的好好的刚赚点京东卡。。。