当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-081699

漏洞标题:多玩网YY歪歪语音强制封任何频道主播漏洞

相关厂商:广州多玩

漏洞作者: 佩佩

提交时间:2014-11-02 10:39

修复时间:2014-12-17 10:40

公开时间:2014-12-17 10:40

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-02: 细节已通知厂商并且等待厂商处理中
2014-11-05: 厂商已经确认,细节仅向厂商公开
2014-11-15: 细节向核心白帽子及相关领域专家公开
2014-11-25: 细节向普通白帽子公开
2014-12-05: 细节向实习白帽子公开
2014-12-17: 细节向公众公开

简要描述:

如题:歪歪做为上市公司,公司目前主要的业务盈利方式就是娱乐直播这块,每个月的交易额甚至堪比阿里巴巴.这个漏洞能造成歪歪所有直播用户无法正常直播,对歪歪平台秩序跟业务安全来说非常严重,属于高危漏洞.(我提xss这种漏洞,你也不重视没办法啊 #_#)
PS.一段时间没在乌云提漏洞了,经常看到有不玩歪歪的同行喜欢提些子站注入,或者子站跨站漏洞,那作为经常玩歪歪消费过万的核心用户来说,那我就提点逻辑型漏洞吧.玩歪歪的乌云白帽子可以加我YY:94154
爱乌云,爱歪歪!

详细说明:

漏洞网站: http:/m.yy.com/
漏洞说明:此漏洞是歪歪娱乐直播上某接口权限过滤不严,导致用户可以越权操作!
漏洞步骤:1.随便登陆个拥有OW身份(即有建立频道紫色马甲身份的歪歪账号)登陆漏洞网站。
2.登陆该网站业务中名为签约主播管理这个业务,然后选择冻结直播权限管理这里!
具体步骤是:(签约主播管理—冻结直播间管理-输入YY号-授予权限-分析提交的post数据包中接口的参数,发现参数chId没有后端JS验证,导致可以随意修改指定频道添加冻结直播间权限管理的歪歪号)
PS:当然能添加,也能撤消。此页面任何权限操作。均没有对此参数进行后端验证!

漏洞证明:

漏洞接口地址:

m.yy.com/zone/次处是你自己登陆的YY号/gh/freezeAnthSubmitOrCancel.action


佩佩漏洞测试图.jpg


然后就能实现任何频道随便封主播直播权限的资格了!
如果恶意利用此漏洞,会让歪歪造成不小的损失!
求礼物,提了N个漏洞,都没有要礼物,歪歪熊家里都堆成山了!

修复方案:

后端JS!

版权声明:转载请注明来源 佩佩@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-11-05 14:57

厂商回复:

感谢对于欢聚时代安全工作的支持,我们会尽快修复!

最新状态:

暂无