漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-042370
漏洞标题：利用某活动无限刷浙江电信省内流量
相关厂商：中国电信
漏洞作者： jeffreys125
提交时间：2013-11-09 08:40
修复时间：2013-12-24 08:40
公开时间：2013-12-24 08:40
漏洞类型：网络设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-09： 细节已通知厂商并且等待厂商处理中
2013-11-13： 厂商已经确认，细节仅向厂商公开
2013-11-23： 细节向核心白帽子及相关领域专家公开
2013-12-03： 细节向普通白帽子公开
2013-12-13： 细节向实习白帽子公开
2013-12-24： 细节向公众公开
简要描述：
利用某活动刷浙江电信省内流量
详细说明：
活动快过期了。。。估计这个漏洞危害也不大了
活动地址http://p.zj189.cn/pepsi/web/index.jsp
一等奖手机一部，二等奖100M省内流量。。。
以前很早知道这个活动的，只是嫌只有100M流量就没去兑换。。。
最近闲着蛋疼拿着瓶盖去网页兑换。。。
发现了一些问题啊啊啊啊。。一等奖随便拿啊。。。
登入活动页面输入兑换码就可以兑换省内100M流量。。当第二次输入同一个兑换码的时候会显示已兑换
后来查看历史找到了兑换的网页可以跳过这玩意直接可以再次兑换
地址:http://p.zj189.cn/pepsi/web/info2.jsp?coupon=2&PrizeID=兑换码
之后又发现兑换码只是个摆设啊啊啊。。。可以直接输入利用上面地址。输入11位数字或英文大写字母就又可以兑换。。。。
服务器nc -vv的结果。。。。
后来继续查看那个地址发现info2.jsp是二等奖的页面。。改成info1.jsp。。。
一等奖啊啊啊啊。。
ps：再加个小问题。。直接访问http://p.zj189.cn/pepsi/lr/submitaward.action可以查看所有兑换100M流量的童鞋。。。。。
漏洞证明：
详细说明里有了就不写了
修复方案：
这个你们比我懂。。。。
版权声明：转载请注明来源 jeffreys125@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2013-11-13 21:35
厂商回复：
最新状态：
暂无