【SRC实战】利用信息泄露漏洞100%获奖

挖个洞先
https://mp.weixin.qq.com/s/8MaDDfGUE1ZmgIRmG2xhkg

“ 以下漏洞均为实验靶场，如有雷同，纯属巧合 ”

01

—

漏洞证明

一、翻牌场景

“ 翻牌次数有限的情况下，如何提高获得最高奖励概率？ ”

1、9张牌，非会员2次翻牌机会，会员6次翻牌机会，已知存在普通奖励和高级奖励

2、任意翻1张牌，获得普通奖励

3、返回包中发现cardIndex，也就是未翻牌list，其中泄露卡牌具体信息

4、此时还有1次翻牌机会，获得高级奖励概率为20%，利用漏洞查看高级奖励位于第八张牌处，提高概率为100%，直接领取高级奖励5天会员时长

二、PK场景

“ 注意获胜条件，如何提高PK胜率？ ”

1、每日PK，注意获胜条件，观点支持更多的一方获胜

2、问题有两个选项，二选一也就是50%胜率

3、退出PK，再次进入，返回包中发现参数optionACount选项A人数=6588，参数optionBCount选项B人数=3419

4、等到PK截至前一分钟，23:59再次抓包，发现此时optionACount选项A人数仍然大于optionBCount选项B人数，此时选择A，加入PK，100%胜率

02

—

漏洞危害

1、翻牌场景将获取高级奖励20%概率提高到100%

2、PK场景将50%胜率提高到100%，PK胜利获得金币奖励。