简单逻辑漏洞学习

青春计协 青春计协 2024-11-18 15:03

GRADUATION

点击蓝字 关注我们

免责申明：

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。

漏洞复现：

正常流程：

活动报名——扣除1000积分（身份校验）

错误：

取消报名——增加1000积分；（未进行身份校验）

复现:

通过取消报名可以达到越权的效果，有个uid=数字的账户信息标识，但是可以通过遍历来进行测试他人的用户，只要一直发送取消报名的包就可以。

备注：由于时间问题今天简单学个小逻辑，明天发昨天讨论的漏洞问题。

编辑｜青春计协

审核｜青春计协