漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-018169
漏洞标题：好大夫任意刷钱漏洞
相关厂商：好大夫在线
漏洞作者： fox
提交时间：2013-01-31 12:48
修复时间：2013-03-17 12:55
公开时间：2013-03-17 12:55
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-31： 细节已通知厂商并且等待厂商处理中
2013-01-31： 厂商已经确认，细节仅向厂商公开
2013-02-10： 细节向核心白帽子及相关领域专家公开
2013-02-20： 细节向普通白帽子公开
2013-03-02： 细节向实习白帽子公开
2013-03-17： 细节向公众公开
简要描述：
再来一发
详细说明：
由于那个重置密码漏洞，重置了管理员账号为admin/admin
管理员账号可以修改任意医生的主页设置，此外还有一个莫名其妙的刷钱漏洞
在“积分管理”里， 看到这个账号的积分居然是负数的， 并且每几分钟还会变动，难道是所有用户的积分操作都在这里进行中转？
在兑换积分到现金账户那里， 发现一旦把积分兑换成现金，积分会马上补回来，而现金也增加了
漏洞证明：
修复方案：
不知道这是什么逻辑
版权声明：转载请注明来源 fox@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-01-31 13:39
厂商回复：
这个漏洞比较严重，我们会尽快分析原因和处理。
最新状态：
2013-01-31：我是厂商，这个漏洞比较搞笑，不过这个兑换出来的钱实际也无法用，一用就会被运营发现。不过还是很好的漏洞，提醒我们去查查相关的部分。