漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-0102861
漏洞标题:eyou旗下醉武侠无限礼包领取技巧
相关厂商:eyougame.com
漏洞作者: 天地不仁 以万物为刍狗
提交时间:2015-03-23 11:24
修复时间:2015-03-23 13:37
公开时间:2015-03-23 13:37
漏洞类型:未授权访问/权限绕过
危害等级:低
自评Rank:1
漏洞状态:厂商已经修复
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-03-23: 细节已通知厂商并且等待厂商处理中
2015-03-23: 厂商已经确认,细节仅向厂商公开
2015-03-23: 厂商已经修复漏洞并主动公开,细节向公众公开
简要描述:
拜金的年月,人们都已经完全忘记了生活最终的目标是什么了。
详细说明:
http://zwx.eyougame.com/Giftpack
一个帐号只能领取一张新手卡 不管你怎么刷新都是原来的那张 那么怎么绕过这个限制 把所有卡片都领一遍呢?我们先刷新一下网页(因为点了一个服务器领到新手卡后 不刷新是没反映的 我们先按F5刷新一下页面 让他初始化 或者点别的服务器改下服务器序号发送数据)
刷新好后 开启我们的 burp 然后再点击我们的1号服务器
我们可以看见是 使用了 GET 的方式获取 那么怎么确定一号一卡呢?我想是通过 uid 来判断的 如果更改下 uid 是不是就可以无限领了呢?我们把 uid 直接改为1 然后看看返回值
果然变了 我们再试试将uid改为2,3
漏洞证明:
其他的就不多测试了 如果嫌这手动领取麻烦的话 也可以直接写个循环程序 更改下 uid 领取下 这里我就不写了
修复方案:
····
版权声明:转载请注明来源 天地不仁 以万物为刍狗@乌云
漏洞回应
厂商回应:
危害等级:低
漏洞Rank:2
确认时间:2015-03-23 13:30
厂商回复:
可以领取礼包编号,但是游戏内兑换的时候仍然会做判断是否已经领取过,还是无法正常获取到游戏礼包的,感谢您的反馈,谢谢!
最新状态:
2015-03-23:游戏礼包编号可领取,但游戏内无法多次兑换领取。并且游戏角色需要达到30级以上才可领取该礼包编号.