漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025160
漏洞标题：通过手机游侠(八门神器)修改腾讯旗下一火爆网游数据，刷钱
相关厂商：腾讯
漏洞作者： 西施店De包子
提交时间：2013-06-05 11:03
修复时间：2013-09-03 11:04
公开时间：2013-09-03 11:04
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-05： 细节已通知厂商并且等待厂商处理中
2013-06-05： 厂商已经确认，细节仅向厂商公开
2013-06-08： 细节向第三方安全合作伙伴开放
2013-07-30： 细节向核心白帽子及相关领域专家公开
2013-08-09： 细节向普通白帽子公开
2013-08-19： 细节向实习白帽子公开
2013-09-03： 细节向公众公开
简要描述：
最近吧我也在玩这个。。傲视西游，昨晚一个群闹翻天说有人用八门可以刷游戏币和经验书，并且在卖钱，我以为是骗子就没搭理。 今天晚上在傲视西游贴吧有人开了帖子，然后我也抱着好奇的心态去刷了，结果成功了。。虽然不是我找到滴。。但是不要浪费这分了。。给我吧~~~ 有些人已经在利用这玩意卖钱了，我只是好心提交， 跟我没任何关系啊！！！ 也不是我泄漏的！！！ 不要查水表，不要查水表！！！
详细说明：
1.开一个游侠，然后进入游戏.
2.选择一个不要的装备，装备到战将身上。进入该装备的强化界面
如果你现在的装备是12级，下一级强化就是13 你就搜索13. 搜索完以后拖动强化装备的进度条，比如拖到强化到15.然后搜索15回去再拖动，再查询。 最后还剩1个数据或者两个数据，就修改。并且锁定。 锁定完成点击强化。 你会发现装备变成负数了
3.回到游戏的主界面，把刚才修改的值取消锁定。再回到刚才强化装备的页面，你会发现，没强化一次，钱就多一次
(绝对不是本地YY) 提交到了服务器
漏洞证明：
放一张我第一次用大号刷的， 别封号啊。 我也是尝试，没想到就成功了，这个小号是我临时搞的，就是做证明！！这是我强化玩装备以后，小号截图看的大号!
修复方案：
这个，你们比我清楚。。。 多少给几分啊...
版权声明：转载请注明来源 西施店De包子@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：4
确认时间：2013-06-05 14:54
厂商回复：
感谢反馈，已同步业务处理。
最新状态：
暂无