当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-074598

漏洞标题:美丽约多处业务安全漏洞(任意密码修改、刷金币等)

相关厂商:miliyo.com

漏洞作者: 啊L川

提交时间:2014-09-22 10:00

修复时间:2014-09-22 12:19

公开时间:2014-09-22 12:19

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-09-22: 细节已通知厂商并且等待厂商处理中
2014-09-22: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

交友约会神器 哈哈

详细说明:


1 任意手机注册 手机动态码可遍历得到(手机号未注册)

打开软件 提示各种登录方式,我们选手机或邮箱登录,然后再选忘记密码
这么牛X得手机号竟然没有注册

zhuce1.PNG



好吧,我来注册下

zhuce2.PNG



提示输入四位动态验证码

zhuce3.PNG


随便输入下

zhuce4.PNG


抓包 然后暴力破解 1111 - 9999

注册1.png


还挺快 出来了

注册2.png


2 重置用户密码

第一个得时候 在手机号未注册时会提示让其注册,但是已经注册得手机号 会下发 6位动态验证码 同样对错误提交次数没有验证,导致可暴力破解得到

电脑太烫了 不跑了

找回密码.png



3 个人账户无限刷金币 ,支付得漏洞在app端 (web端做了验证,app就不做了嚒)

购买金币处,对支付金额做了验证,但是没有验证金币数目,

IMG_0056.PNG



点击购买第一个12元 1200金币 抓包修改金币数120000

IMG_0054.PNG


支付绕1.png


继续支付, 成功了

支付绕2.png


QQ20140901-1@2x.png

漏洞证明:

已经证明了

修复方案:


增加动态验证码错误次数

支付加强验证

版权声明:转载请注明来源 啊L川@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-09-22 12:19

厂商回复:

找回密码的漏洞在之前的缺陷编号里处理好了,支付时提交的金币数只是用于显示,在支付成功后给用户发放金币时是按照实际交多少钱来处理的,您可以试一下,还是很感谢您。

最新状态:

暂无