早上一来,看了下邮件,就点到**那块去了。可谁知点着点着就发现了这个。
刚好有段时间没来wooyun露面了,就提交到wooyun去吧。
详细说明:早上一来,看了下邮件,就点到彩票那块去了.....

逻辑是这样的:
是从这个页面引发的,兑换优惠劵时会让认证手机,问题就出现在认证手机上。
本来以为必须要有真实的兑换码才行呢(都准备把我的给贡献出来了呢),可测试了下,输入四位以上数字即可。

https://caipiao.163.com/coupon/couponExchange.html
输入四位以上数字会让认证手机,输入手机号和验证码提交验证时,看下http request发现是通过这个地址来完成短信验证的:

https://caipiao.163.com/coupon/getCoupon_sendSms.html?mobile=手机号
手机号可以填任意手机号;时间限制完全是虚设啊。。。短信DDOS就这样引发了。



直接用这个地址来测试吧,填上你的手机号。
修复方案:


相信你们更专业。