当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-080227

漏洞标题：新浪转发抽奖平台越权漏洞可以给任意新浪用户充值包月包年

相关厂商：新浪微博

漏洞作者： boyyzz

提交时间：2014-10-21 11:44

修复时间：2014-10-21 18:42

公开时间：2014-10-21 18:42

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-21： 细节已通知厂商并且等待厂商处理中
2014-10-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

新浪转发抽奖平台越权漏洞，可以给任意新浪用户充值包月包年

详细说明：

新浪转发抽奖平台越权漏洞，可以给任意新浪用户充值包月包年

漏洞证明：

新浪转发抽奖平台越权漏洞，可以给任意新浪用户充值包月包年

1.png


原因某地址目录泄漏，浏览某个js文件泄漏越权地址、

2.png


http://judge.drip.im/public/js/src/update.js

3.png


直接访问：http://judge.drip.im/update/

4.png


后台用户充值记录。正好看到360 CEO的充值记录。

5.png


点击右上角的充值记录,输入想要充值的微博昵称。选择各类套餐，成功充值！

6.jpg


修复方案：

禁止越权访问

版权声明：转载请注明来源 boyyzz@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-21 18:42

厂商回复：

感谢关注新浪安全，非新浪和微博业务，故忽略。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-10-21 11:45 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    年费会员来一套？

  2. 2014-10-21 11:48 | anon ( 路人 | Rank:10 漏洞数:6 | AnOnYMoUs我是一只小马甲)

    这年头谁还用微博?你OUT了!

  3. 2014-10-21 11:50 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    不信

  4. 2014-10-21 14:24 | 咖啡 ( 实习白帽子 | Rank:48 漏洞数:20 )

    已成功复现

  5. 2014-10-21 16:18 | phith0n 认证白帽子 ( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)

    我就感觉好像在哪看过http://loudong.360.cn/vul/info/id/26994@xsser @疯狗

  6. 2014-10-21 16:24 | by:龙少 ( 普通白帽子 | Rank:304 漏洞数:74 | 信息安全，学习、进步、共勉！)

    同一个人 同一时间 同样的漏洞。。。。。http://loudong.360.cn/vul/info/id/26994

  7. 2014-10-21 16:32 | boyyzz ( 路人 | Rank:25 漏洞数:5 | 大婊砸)

    @phith0n 确实提交了2次。

  8. 2014-10-21 17:05 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @boyyzz 很诚实啊

  9. 2014-10-21 19:51 | 咖啡 ( 实习白帽子 | Rank:48 漏洞数:20 )

    @xsser 怎么这么快就公开了