漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0151190
漏洞标题：51调查网某功能存在严重逻辑缺陷
相关厂商：51调查网
漏洞作者： 云袭2001
提交时间：2015-11-03 22:06
修复时间：2015-12-18 22:08
公开时间：2015-12-18 22:08
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-03： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-18： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
51调查网，也称我要调查网是盖洛特市场研究有限公司旗下的网站，通过Surveypark在线调查系统平台独立运营的作为中国一家专业的自助网络调查互动门户网站。
盖洛特市场研究有限公司总部位于福州，下属厦门、泉州2个分公司。盖洛特是目前福建省最具实力、最具规模的专业市场研究咨询公司。公司运营Surveypark在线调查系统、我要调查网(51调查网)两个独立的网络平台，致力于打造中国最专业的在线问卷调查平台。
详细说明：
一年350元：
点击立即升级会看到这个页面：
然后点击确认付款的同时抓包：
我们把month改成-1，接下来就这样了：
然后再把那个3500的删了：
确认付款：
难道就到此为止了吗：
漏洞证明：
提醒绑定手机才可以，为了防止被查水表（心里安慰自己）继续抓包：
改为ture
修复方案：
其实贵网站还有其他的漏洞，比如XSS，尽快修复吧
拒绝查水表
版权声明：转载请注明来源 云袭2001@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝