本来生活网100块钱拿1900的礼金卡

漏洞概要

缺陷编号:WooYun-2015-0125048

漏洞标题:本来生活网100块钱拿1900的礼金卡

相关厂商:本来生活网

漏洞作者:DeadSea

提交时间:2015-07-07 09:38

公开时间:2015-08-21 10:16

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-07-07: 细节已通知厂商并且等待厂商处理中
2015-07-07: 厂商已经确认,细节仅向厂商公开
2015-07-17: 细节向核心白帽子及相关领域专家公开
2015-07-27: 细节向普通白帽子公开
2015-08-06: 细节向实习白帽子公开
2015-08-21: 细节向公众公开

简要描述:

我要把这漏洞上交给国家。
哦!不对
我要把这漏洞上交给乌云

详细说明:

http://www.benlai.com/giftcard来到礼金卡的购买地址我们选择电子礼金卡有100、200、300、500、1000的卡那么。我买购买一张1000的卡500的卡300的卡1张一百我就选一张1000、500、300、100、100的来弄吧选好抓包点击立即购买

100,1|300,1|500,1|1000,1可以清楚的看到价格与数量。我们把100,1改成-1 300,1改成300,-1 500,1改成500,-1 1000,1就不用修改了我们提交看看

因资金有限。。所以。。。。就不说了

漏洞证明:

http://www.benlai.com/giftcard来到礼金卡的购买地址我们选择电子礼金卡有100、200、300、500、1000的卡那么。我买购买一张1000的卡500的卡300的卡1张一百我就选一张1000、500、300、100、100的来弄吧选好抓包点击立即购买

100,1|300,1|500,1|1000,1可以清楚的看到价格与数量。我们把100,1改成-1 300,1改成300,-1 500,1改成500,-1 1000,1就不用修改了我们提交看看

因资金有限。。所以。。。。就不说了

修复方案:

来个礼金卡即可看到修复方法

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2015-07-0710:14

厂商回复:

非常感谢,已经在修复中

最新状态:

暂无

评价

  1. 2010-01-01 00:00 http://www.wooyun.org/corps/苏州同程旅游网络科技有限公司 白帽子 | Rank:0 漏洞数:0)

    洞主这么幽默,居然没人评论

  2. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    @苏州同程旅游网络科技有限公司 厂商你上班就是来乌云吐槽呢……

  3. 2010-01-01 00:00 计算姬 白帽子 | Rank:100 漏洞数:9)

    @苏州同程旅游网络科技有限公司 你们也被老公60亿投资啦

  4. 2010-01-01 00:00 90Snake 白帽子 | Rank:111 漏洞数:10)

    @苏州同程旅游网络科技有限公司 2015-07-07: 厂商已经确认,细节仅向厂商公开

    这个厂商 是所有厂商?

  5. 2010-01-01 00:00 http://www.wooyun.org/corps/苏州同程旅游网络科技有限公司 白帽子 | Rank:0 漏洞数:0)

    @90Snake 当然是他们自己啦

  6. 2010-01-01 00:00 http://www.wooyun.org/corps/苏州同程旅游网络科技有限公司 白帽子 | Rank:0 漏洞数:0)

    @wefgod 没有的好吧,早上请假办公积金贷款,没事儿水一水乌云。

  7. 2010-01-01 00:00 孤梦° 白帽子 | Rank:58 漏洞数:8)

    sea真6

  8. 2010-01-01 00:00 小龙 白帽子 | Rank:1634 漏洞数:152)

    上交国

  9. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    @苏州同程旅游网络科技有限公司 呃,你手机流量挺多.一看就是买房了啊,给力同程,看来分了20万股票

  10. 2010-01-01 00:00 http://www.wooyun.org/corps/苏州同程旅游网络科技有限公司 白帽子 | Rank:0 漏洞数:0)

    @wefgod 只有老员工才有股票的,我要有那还至于去申请公积金贷款么,对吧。

  11. 2010-01-01 00:00 http://www.wooyun.org/corps/苏州同程旅游网络科技有限公司 白帽子 | Rank:0 漏洞数:0)

    @计算姬 没,是共计这么多,万达投了35.8亿好像是

  12. 2010-01-01 00:00 计算姬 白帽子 | Rank:100 漏洞数:9)

    @苏州同程旅游网络科技有限公司 来来来,可以加好友了,慢点把你们也加到万达的群里

  13. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    @苏州同程旅游网络科技有限公司 未必哦,以后钱会不值钱的,哈哈,贷款有时候也是一种小投资,可以把闲钱用在其他地方赚大钱!

  14. 2010-01-01 00:00 十月 白帽子 | Rank:12 漏洞数:1)

    5 rank?
    这个厂商比来伊份强不到哪里去