漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-016163
漏洞标题：开通超级QQ超惠生活版出现Q币支付漏洞
相关厂商：腾讯
漏洞作者： 没牙的小象
提交时间：2012-12-18 10:29
修复时间：2012-12-19 13:56
公开时间：2012-12-19 13:56
漏洞类型：账户体系控制不严
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-12-18： 细节已通知厂商并且等待厂商处理中
2012-12-19： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
开通超级QQ超惠生活版出现Q币支付漏洞，可能造成使用一个新QQ为特定的QQ开通更多时长的超Q
详细说明：
这个漏洞必须通过一次Q币验证，通过一次Q币验证后可以为超Q刷开更长时间。
这个记录是历史记录页面。如果第一次支付成功后，只需要修改month数据再刷新，那么系统自动给你开通多少个月的超Q了，不需再Q币交易验证，开通的业务马上生效，扣取Q币有延时。
这个是修改month数据再刷新开通的超Q通知。
这个是Q币交易记录，信息摘要还出现了乱码。
这个是已经所开通的超Q业务。
漏洞证明：
本来是开通一个月的超Q业务，没想到修改一下链接数据，业务没经过Q币交易验证马上又开通业务。
修复方案：
完善Q币支付机制，避免页面刷新造成数据重新提交，Q币交易每笔交易一次验证
版权声明：转载请注明来源 没牙的小象@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-12-19 13:56
厂商回复：
这里并不存在安全漏洞，报告者可以看到，自己每次开通都是扣了费的。
如果有其他发现，也请及时联系我们。
再次感谢。
最新状态：
暂无