好大夫任意刷钱漏洞

漏洞概要

缺陷编号:WooYun-2013-018169

漏洞标题:好大夫任意刷钱漏洞

相关厂商:好大夫在线

漏洞作者:fox

提交时间:2013-01-31 12:48

公开时间:2013-03-17 12:55

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2013-01-31: 细节已通知厂商并且等待厂商处理中
2013-01-31: 厂商已经确认,细节仅向厂商公开
2013-02-10: 细节向核心白帽子及相关领域专家公开
2013-02-20: 细节向普通白帽子公开
2013-03-02: 细节向实习白帽子公开
2013-03-17: 细节向公众公开

简要描述:

再来一发

详细说明:

由于那个重置密码漏洞,重置了管理员账号为admin/admin管理员账号可以修改任意医生的主页设置,此外还有一个莫名其妙的刷钱漏洞在“积分管理”里, 看到这个账号的积分居然是负数的, 并且每几分钟还会变动,难道是所有用户的积分操作都在这里进行中转?

在兑换积分到现金账户那里, 发现一旦把积分兑换成现金,积分会马上补回来,而现金也增加了

漏洞证明:

修复方案:

不知道这是什么逻辑

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2013-01-31 13:39

厂商回复:

这个漏洞比较严重,我们会尽快分析原因和处理。

最新状态:

2013-01-31:我是厂商,这个漏洞比较搞笑,不过这个兑换出来的钱实际也无法用,一用就会被运营发现。不过还是很好的漏洞,提醒我们去查查相关的部分。

评价

  1. 2010-01-01 00:00 http://www.wooyun.org/corps/好大夫在线 白帽子 | Rank:0 漏洞数:0)

    @xsser 我们一个用户,内部有多个不同的积分账户,用途不同,这个地方应该是显示的问题,把多个账户的余额之和显示出来了,正常是没问题的。但是这个用户特殊,他其中一个积分帐号的余额负了很多分,其他账户却还有分。所以你看着积分是负的却可以兑换钱。 另外这个用户的账户是系统账户,里面确实有中转的积分在流动。才导致这个漏洞。不知道我说清楚了没有,比较绕。

  2. 2010-01-01 00:00 疯子 白帽子 | Rank:254 漏洞数:39)

    前排广告位出租!!!

  3. 2010-01-01 00:00 Rookie 白帽子 | Rank:241 漏洞数:48)

    全场广告位出租!!!

  4. 2010-01-01 00:00 txcbg 白帽子 | Rank:391 漏洞数:52)

    关注

  5. 2010-01-01 00:00 Metasploit 白帽子 | Rank:32 漏洞数:5)

    我是厂商,这个漏洞比较搞笑

  6. 2010-01-01 00:00 fox 白帽子 | Rank:147 漏洞数:15)

    我也觉得是个莫名其妙的漏洞,不知道后台怎么做的
    不过如果普通用户也存在,就可以买礼物给医生,然后提现

  7. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    话说厂商能不能最后公开下原因啊?

  8. 2010-01-01 00:00 fox 白帽子 | Rank:147 漏洞数:15)

    @xsser 很好奇原因 :)

  9. 2010-01-01 00:00 Shell 白帽子 | Rank:14 漏洞数:4)

    我是厂商,这个漏洞比较搞笑,

  10. 2010-01-01 00:00 http://www.wooyun.org/corps/好大夫在线 白帽子 | Rank:0 漏洞数:0)

    原因很简单,我们的系统帐号凑巧和管理员帐号是一个,这个问题我们会很快解决,系统帐号不应该能够登录。这个问题是设计的时候不够严谨,没有多想导致的。

  11. 2010-01-01 00:00 se55i0n 白帽子 | Rank:1483 漏洞数:156)

    @好大夫在线 厂商态度比较赞!

  12. 2010-01-01 00:00 http://www.wooyun.org/corps/好大夫在线 白帽子 | Rank:0 漏洞数:0)

    因为我们也是屌丝

  13. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @好大夫在线 还是不理解 系统账号和管理一个账号就会导致这个问题么

  14. 2010-01-01 00:00 http://www.wooyun.org/corps/好大夫在线 白帽子 | Rank:0 漏洞数:0)

    @xsser 我们一个用户,内部有多个不同的积分账户,用途不同,这个地方应该是显示的问题,把多个账户的余额之和显示出来了,正常是没问题的。但是这个用户特殊,他其中一个积分帐号的余额负了很多分,其他账户却还有分。所以你看着积分是负的却可以兑换钱。 另外这个用户的账户是系统账户,里面确实有中转的积分在流动。才导致这个漏洞。不知道我说清楚了没有,比较绕。