斗鱼直播加密码房间可绕过

编号216454
Urlhttp://www.wooyun.org/bug.php?action=view&id=216454
漏洞状态漏洞已经通知厂商但是厂商忽略漏洞
漏洞标题斗鱼直播加密码房间可绕过
漏洞类型设计缺陷/逻辑错误
厂商douyu.tv
白帽子Lucaroot
提交日期2016-06-07 20:43:00
公开日期2016-06-12 16:00:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签设计缺陷/边界绕过 逻辑错误 设计不当
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank0
漏洞简介
斗鱼直播加密码房间可绕过
漏洞细节

首先来到一个主播个人加密的房间

1.png


密码通过弹幕得知为房间号 6位
但是故意输错为3位

2.png


抓包修改返回包

3.png


进入直播间

4.png

POC

4.png

修复方案

不要前端验证

状态信息 2016-06-07: 细节已通知厂商并且等待厂商处理中
2016-06-07: 厂商已查看当前漏洞内容,细节仅向厂商公开
2016-06-12: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复不care
回应信息危害等级:无影响厂商忽略忽略时间:2016-06-12 16:00