漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-081699
漏洞标题：多玩网YY歪歪语音强制封任何频道主播漏洞
相关厂商：广州多玩
漏洞作者： 佩佩
提交时间：2014-11-02 10:39
修复时间：2014-12-17 10:40
公开时间：2014-12-17 10:40
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-02： 细节已通知厂商并且等待厂商处理中
2014-11-05： 厂商已经确认，细节仅向厂商公开
2014-11-15： 细节向核心白帽子及相关领域专家公开
2014-11-25： 细节向普通白帽子公开
2014-12-05： 细节向实习白帽子公开
2014-12-17： 细节向公众公开
简要描述：
如题:歪歪做为上市公司,公司目前主要的业务盈利方式就是娱乐直播这块，每个月的交易额甚至堪比阿里巴巴.这个漏洞能造成歪歪所有直播用户无法正常直播,对歪歪平台秩序跟业务安全来说非常严重，属于高危漏洞.（我提xss这种漏洞,你也不重视没办法啊 #_#)
PS.一段时间没在乌云提漏洞了,经常看到有不玩歪歪的同行喜欢提些子站注入,或者子站跨站漏洞,那作为经常玩歪歪消费过万的核心用户来说,那我就提点逻辑型漏洞吧.玩歪歪的乌云白帽子可以加我YY:94154
爱乌云，爱歪歪！
详细说明：
漏洞网站: http:/m.yy.com/
漏洞说明：此漏洞是歪歪娱乐直播上某接口权限过滤不严，导致用户可以越权操作！
漏洞步骤：1.随便登陆个拥有OW身份(即有建立频道紫色马甲身份的歪歪账号）登陆漏洞网站。
2.登陆该网站业务中名为签约主播管理这个业务，然后选择冻结直播权限管理这里！
具体步骤是：（签约主播管理—冻结直播间管理-输入YY号-授予权限-分析提交的post数据包中接口的参数，发现参数chId没有后端JS验证，导致可以随意修改指定频道添加冻结直播间权限管理的歪歪号）
PS：当然能添加，也能撤消。此页面任何权限操作。均没有对此参数进行后端验证！
漏洞证明：
漏洞接口地址：
然后就能实现任何频道随便封主播直播权限的资格了！
如果恶意利用此漏洞，会让歪歪造成不小的损失！
求礼物，提了N个漏洞，都没有要礼物，歪歪熊家里都堆成山了！
修复方案：
后端JS！
版权声明：转载请注明来源 佩佩@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-11-05 14:57
厂商回复：
感谢对于欢聚时代安全工作的支持，我们会尽快修复！
最新状态：
暂无