漏洞概要 关注数(24) 关注此漏洞
缺陷编号：
漏洞标题：
同程网手机端抽奖设计缺陷（可刷ipad）
相关厂商：
漏洞作者：
提交时间：
2014-07-11 11:20
修复时间：
2014-07-16 11:21
公开时间：
2014-07-16 11:21
漏洞类型：
设计缺陷/逻辑错误
危害等级：
低
自评Rank：
1
漏洞状态：
漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系
[email protected]
Tags标签：
>
漏洞详情
披露状态：
2014-07-11： 细节已通知厂商并且等待厂商处理中
2014-07-16： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
RT
详细说明：
修改上面的GiftId即可刷物品 如IPAD就写GiftId=IPAD 其他的是数字GiftId=1.。。。。
漏洞证明：
修改上面的GiftId即可刷物品 如IPAD就写GiftId=IPAD 其他的是数字GiftId=1.。。。。
修复方案：
肯定收不到货
版权声明：转载请注明来源 蜉蝣@乌云
>
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-07-16 11:21
厂商回复：
最新状态：
2014-07-16：忽略是和洞主商量过了，原因如下：洞主11号报告后，我一直没能成功重现，后来周六看邮件才知道这个是有人工审核的，洞主6号尝试兑换，7号运营报告了异常（游币数值和商品对不上），开发当天就加强了验证。有漏洞还是不能捂在手里啊，总之还是非常感谢洞主。重现的过程中发现另外一处问题（看上面漏洞证明中的Referer），这个问题已经在新版本客户端上线前紧急修复了。