当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0135919

漏洞标题:爱丽网某处存在设计逻辑缺陷错误

相关厂商:aili.com

漏洞作者: 隔壁老三

提交时间:2015-08-22 20:14

修复时间:2015-10-08 10:24

公开时间:2015-10-08 10:24

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-22: 细节已通知厂商并且等待厂商处理中
2015-08-24: 厂商已经确认,细节仅向厂商公开
2015-09-03: 细节向核心白帽子及相关领域专家公开
2015-09-13: 细节向普通白帽子公开
2015-09-23: 细节向实习白帽子公开
2015-10-08: 细节向公众公开

简要描述:

一处逻辑漏洞,与钱挂钩~无小事哦

详细说明:

与利益挂钩的东西都非同小可。老板,来一波礼物可好~

漏洞证明:

首先,请注册一个账号
然后点击右上角ID 进入个人资料页面。

QQ图片20150821181408.png


请注意,这里我的积分现在是11分!
而这个逻辑漏洞就在其中的积分系统中。

QQ图片20150821181120.png


如图所示,积分奖励机制是这样的。
其中 日志系统做了限制。每天最多100次,一次4分。这样一天能刷400分
所以,点击 写日志。随意打点什么字!
打开Burpsuite抓包

QQ图片20150821181616.jpg


这里我输入的标题是 2 内容是 3
所以抓包得到的title=2就是标题。我们将其发送到Intruder,把标题设为变量。1-100
因为最多100次,这样就只用了几秒就刷完了这400分。如图

QQ图片20150821181711.png


回到个人首页,看下!411分~

QQ图片20150821182300.png


--------------------------------------------我是分界线
下面就是万众瞩目的无限刷分了~~~
从积分获得方式可以知道 回复试用报告是无限制的。而且每次回复能加1分,所以我们就去试用中心找试用报告咯~
于是随便找一个把
如http://hzp.aili.com/shiyong/baogao/443/630721.html
请注意,现在我的积分是411.我决定把他刷成500!
所以我要发的回复次数为99
简单测试~
拉到最下面,在评论中输入任意,如图

QQ图片20150821183045.png


同样的,抓包。发送到Intruder,将其中的1天中的1设为变量。1-99.当然如果想要刷9999999999999999也是可以的!

QQ图片20150821183359.png


然后,我们再次回到个人首页~
这时候积分已经刷到512了,不好意思刷多了。。。

QQ图片20150821183729.png


所以,用这样的方法。可以无限刷分,而分有什么用呢。如下图~

QQ图片20150821184052.png


QQ图片20150821184139.png


看到没,小花换爱丽币~爱丽币换实物!
老板,给我来一箱苹果表!

修复方案:

你比我聪明比我强!

版权声明:转载请注明来源 隔壁老三@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-08-24 10:22

厂商回复:

找漏洞的汉子威武雄壮……

最新状态:

暂无


漏洞评价:

评论