记一次白嫖引起的并发漏洞

那天阳光明媚，正是摸鱼的好时光。突然看到有人在群里发可以签到白嫖礼物。

歪路走多了，正常路子就走不惯了，老老实实做任务获得积分是不可能的。于是查看资产归属开始走歪路。

1、直接bp启动，本次目标明确就是刷积分。

2、发现订阅可以刷积分，查看订阅的数据包。

3、去遍历agendaId。

收获逻辑漏洞一枚。

小插曲，竟然小程序有，哪去web看一下能不能遍历id。发现web也可以于是顺手把web的资产也提交了。后来仔细看没过的漏洞时，发现跟一个重复，原来web与小程序接口是一样的。还好差点以为痛失2000大洋。

梅开二度。周末再次对此资产进行测试。

发现签到处可以进行并发签到刷积分。

还是小程序

抓包，直接去并发签到的数据包。

成功并发，造成签到处刷积分。

由于手速过慢，遍历id那个重复了。