漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-051610
漏洞标题：大麦网可0元预定任意场馆
相关厂商：大麦网
漏洞作者： 计算姬
提交时间：2014-02-21 16:46
修复时间：2014-04-07 16:47
公开时间：2014-04-07 16:47
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-21： 细节已通知厂商并且等待厂商处理中
2014-02-28： 厂商已经确认，细节仅向厂商公开
2014-03-10： 细节向核心白帽子及相关领域专家公开
2014-03-20： 细节向普通白帽子公开
2014-03-30： 细节向实习白帽子公开
2014-04-07： 细节向公众公开
简要描述：
大麦网可0元预定任意场馆
详细说明：
注册用户自不用说
随便搜个场馆，比如羽毛球吧
http://ball.damai.cn/Sportlist.html?pid=6&cityId=852&areaid=0
点击在线预定，进去后选时间和场地哈
选好后点击提交订单，burp一下
可以看到post的内容
totalPrice=50&venueID=581&urlParm=2014-02-21%7C2149%7C9782%7C50%7C16%7C17&code=zeib
totalprice 就是总价
2014-02-21|2149|9782|50|16|17 这些是参数 50就是单价
我们修改这两个参数试试
不知道是不是成功了，就没继续试。
漏洞证明：
注册用户自不用说
随便搜个场馆，比如羽毛球吧
http://ball.damai.cn/Sportlist.html?pid=6&cityId=852&areaid=0
点击在线预定，进去后选时间和场地哈
选好后点击提交订单，burp一下
可以看到post的内容
totalPrice=50&venueID=581&urlParm=2014-02-21%7C2149%7C9782%7C50%7C16%7C17&code=zeib
totalprice 就是总价
2014-02-21|2149|9782|50|16|17 这些是参数 50就是单价
我们修改这两个参数试试
不知道是不是成功了，就没继续试。
修复方案：
验证吧
版权声明：转载请注明来源 计算姬@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-02-28 18:18
厂商回复：
你好感谢您提供的网站漏洞，后续情况我会在跟您沟通
最新状态：
暂无