漏洞详情

披露状态:

2014-02-16: 细节已通知厂商并且等待厂商处理中
2014-02-17: 厂商已经确认,细节仅向厂商公开
2014-02-27: 细节向核心白帽子及相关领域专家公开
2014-03-09: 细节向普通白帽子公开
2014-03-19: 细节向实习白帽子公开
2014-04-02: 细节向公众公开

简要描述:

强制消费任何人的Q币

详细说明:

在jifen.qq.com 里面 选 几个兑换

积分加Q币的 我选一个绿钻

http://jifen.qq.com/action/vipmusic/vipMusic.html?ADTAG=JIFEN.HTML5.AD.3



download.png





选第一个测试 让别人消费9个Q币

download1.png



确定兑换

download2.png





因为我没有Q币就余额不足



现在把网址记下来



http://jifen.qq.com/cgi-bin/mart/PayItem.cgi?Fromaq=true&GoodsID=573&UinNum=1767070717



把这个发给别人别人打开



别人打开会提示登入 一般登入这个页面看不了什么 别人通常会点登入

download3.png





登入进去之后显示

download5.png





消费了9个Q币 他会得到一个月的绿钻



提前 有足够的Q币 和积分 一般游戏用户都会有。



算强制性的吧







漏洞证明:

修复方案:

不知道哦 主要在积分商城那里

版权声明:转载请注明来源 鬼见愁@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-02-17 17:25

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价: