7月4日上午继续在玩弄小岛，不经意的发现了一个赎回的漏洞，按钮重复点击，可以发起多次赎回，言外之意就是账户有1000贝，可以连续发起赎回很多次，1000变2000变3000......，发家致富的一条新路，玩笑话，要知道这是犯法的事情，咱不能干，第一时间告诉官方。
和官方沟通后，发现虽然存在这个漏洞，但官方的所有赎回都是人工划转贝的，也就是最后一道防线来把控，像我这种赎回情况是会挡住的，看来官方还是有一定的安全意识的，这也就决定了小岛的漏洞和贝市场的漏洞思路会有很多区别。
涉及被的充值、赎回操作都会有人工审核来把控，而money呢？资金是不受平台托管的，所以针对小岛的审核机制，如果能通过平台套现而不赎回贝才能全做高危漏洞，而赎回这一环节的漏洞只能算作低危漏洞了，大葱哥还是对高危漏洞感兴趣，明日继续下篇。
7月4日上午继续在玩弄小岛，不经意的发现了一个赎回的漏洞，按钮重复点击，可以发起多次赎回，言外之意就是账户有100...
自7月3日晚上知道贝壳小岛的存在一来，陆续发现了贝壳小岛的多个高危漏洞，当然大葱哥还是保持了传统习惯，第一时间通知...
贝壳小岛休市漏洞 闲来无事玩玩小岛，意外找到了一个小岛休市的漏洞。小岛的挂单出价及数量都做了校验，要大于零，但这个...
鸡肋的xss漏洞 习惯性的测试了输入内容，发现贝壳小岛设置个人信息时存在xss漏洞。那就试试能不能拿到管理员coo...
重复赎回的后遗症 继前面提到的重复赎回的漏洞之后，通知可官方，并让官方取消了我的赎回订单。但发现官方在对赎回订单进...
接口随意调用 又是越权漏洞的一种，小岛的后端api接口没有进行权限验证，可以随意调用接口，比如我买了别人的贝，调用...
欢迎关注贝壳小岛 友情提示： 各位小伙伴可以添加贝壳小岛客服微信beikeisland进入贝壳小岛。 今天贝壳小岛...
贝壳小岛欢迎您 友情提示： 各位小伙伴可以添加贝壳小岛客服微信beikeisland进入贝壳小岛 今天贝壳小岛送出...
友情提示： 各位小伙伴可以添加贝壳小岛客服微信beikeisland进入贝壳小岛。 今天贝壳小岛...
友情提示： 各位小伙伴可以添加贝壳小岛客服微信beikeisland进入贝壳小岛。 今天贝壳小岛...
本文标题：贝壳小岛系列漏洞之二
本文链接：https://www.haomeiwen.com/subject/uhvukctx.html
网友评论