漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-033903
漏洞标题:利用成都电视台iPhone app刷金币的逻辑漏洞
相关厂商:成都电视台
漏洞作者: F0urT33n
提交时间:2013-08-09 08:37
修复时间:2013-09-23 08:38
公开时间:2013-09-23 08:38
漏洞类型:设计缺陷/逻辑错误
危害等级:中
自评Rank:12
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-08-09: 细节已通知厂商并且等待厂商处理中
2013-08-13: 厂商已经确认,细节仅向厂商公开
2013-08-23: 细节向核心白帽子及相关领域专家公开
2013-09-02: 细节向普通白帽子公开
2013-09-12: 细节向实习白帽子公开
2013-09-23: 细节向公众公开
简要描述:
成都电视台最近搞了个大型活动【看电视·摇金币·赢手机】,为此还专门做了个iphone的app,结果里面有个负数提交的逻辑错误。
详细说明:
晚上闲着没事从教室回来,发现家里妹子正笑的前仰后合,原来是李伯清的节目。一边笑还一边拿着手机做着上下撸动的姿势,我心里正在纳闷春暖花开万物复苏的季节已经过去很久了才对....莫非...嘿嘿嘿
结果妹子跟我说,老公,你帮我摇下金币嘛,我手都摇酸了。老子顿时怒从心头起恶向胆边生,擦,这不是我的福利吗?!
说时迟,那时快。爷一把抢过手机就开始撸啊撸,撸到154金币的时候,我瞬间想到......好像金币够换根长长的管子了。(我说的是火腿肠)
然后我当然很没节操,也很没技术含量的打开了Brup Suite,提交兑换的时候......
我擦,亲,里面居然是直接显示兑换数量的....那当然要没有节操的手贱一把。
我就把【1】改成了【-90000000】
然后就...............
总体而言电视台的这个活动...就是摇金币嘛...
还专门各种广告,还找了李伯清老师来给这东西配背景音。
小刚刚刚好里面也是各种广告...。
......就不要犯低级错误了嘛。
漏洞证明:
修复方案:
让我请李伯清老师吃个饭我就告诉你...嘿嘿
版权声明:转载请注明来源 F0urT33n@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:13
确认时间:2013-08-13 23:24
厂商回复:
最新状态:
暂无