漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-027186
漏洞标题：腾讯QQ绕过Q币消费限额
相关厂商：腾讯
漏洞作者： M4sk
提交时间：2013-07-01 12:22
修复时间：2013-07-01 17:03
公开时间：2013-07-01 17:03
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-01： 细节已通知厂商并且等待厂商处理中
2013-07-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
腾讯QQ绕过Q币消费限额
详细说明：
给好友赠送QQ业务的时候无意中发现的，因为自己设置的Q币每日消费限额是1个，但是却意外的赠送成功了，也就是成功突破了Q币支付额度的限制，后来经多次测试和研究终于发现了一些门道。
在腾讯的消费限额设置页面，只有你的帐号里有Q币或Q点的情况下才可以同时成功设置支付限额。如果只有Q币而没有Q点的话那么只能单一的设置上Q币的限额，而Q点限额会提示失败。恰恰就是由于这个原因，使得我们可以成功的突破QQ币的消费限制，看下图：
第一步：去设置一下消费限额 ，看看钱包是没有Q点的，只有Q币
好了，设置好了，然后我们去http://pay.qq.com/ 消费。 我们必须选择赠送给好友，你当然可以加自己为好友后，再赠送给自己啦~
这里我赠送给好友的。
我们选择Q点支付，同时勾上Q点不足时使用Q币余额支付就行了。。
然后输入相关密保啥的支付成功！
成功绕过了 Q币的支付限额，通过Q点支付成功~
漏洞证明：
修复方案：
你懂得~
版权声明：转载请注明来源 M4sk@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-07-01 17:03
厂商回复：
非常感谢您的报告。这个问题我们经过评估，暂未发现可以对用户或者业务产生影响，故不作处理。如果您对于该结论有任何的疑问，欢迎反馈指正，我们会有专人跟进处理。
最新状态：
暂无