漏洞详情

披露状态:

2014-08-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-09: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

赚钱儿APP客户端未经授权访问,查看别人账户余额。

详细说明:

首先注册一个号,我已经注册了。
先看看我的新注册的余额

3.png


现在burp抓包看看

5.png


好的,我们改下ID,改成别人的。

4.png


看下面

2.png


1.png

漏洞证明:

3.png


5.png


4.png


2.png


1.png

修复方案:

对验证进行过滤,加强权限。

标签: none

评论已关闭