当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0171899

漏洞标题：加双筷子某处设计缺陷可领取5元优惠券（验证码爆破）

相关厂商：北京加双筷子科技有限公司

漏洞作者： 牛 小 帅

提交时间：2016-01-22 15:08

修复时间：2016-01-22 16:13

公开时间：2016-01-22 16:13

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：11

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-22： 细节已通知厂商并且等待厂商处理中
2016-01-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

加双筷子某处设计缺陷可领取5元优惠券（验证码爆破）

详细说明：

这个站点：

http://mapi.jiashuangkuaizi.com/public/development?bdid=563&sid=0


填写手机号

NPGUS%F(QMGEK4XRHRSQT4S.png


抓包

LSS2C`AQHWOF9XNIRFAJDDP.png


爆破

5Q]1~TX1P0`6L[BZEUE7A2P.png


领取的时候我没截图，然后又不能重复领，所以配上这个图

NLJ5_2MU51(B{C`B_LFZ@CH.png


返回包给你贴出来：

HTTP/1.1 200 OK
Server: nginx
Date: Fri, 22 Jan 2016 05:53:43 GMT
Content-Type: text/html
Connection: close
Vary: Accept-Encoding
Content-Length: 87
{"code":2,"msg":"success","data":{"registered":false,"provided":true,"downBdRes":true}}


另外还会伴随一个app下载，
最后说一下，4位验证码实在是不安全，而且你每次验证码还是一样的，我获取了4次，全部一样的

漏洞证明：

修复方案：

版权声明：转载请注明来源 牛 小 帅@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-01-22 16:13

厂商回复：

Thx,but this is a feature : )

最新状态：

暂无