魔法哈奇吧 关注:46,356贴子:2,331,466

【技术贴】无限魔豆高危漏洞公开

只看楼主收藏回复

【漏洞概要】
漏洞标题:因服务器数据溢出导致游戏无限魔豆
相关厂商:ParaEngine(魔法哈奇、魔法哈奇2)
漏洞作者:小白
发现者:月辰
漏洞类型:数据溢出
危害等级:极高
漏洞状态: 已交由ParaEngine策划Liyu及其程序员处理
【披露状态】
2016-06-13:发现此BUG,并进行测试
2016-06-14:细节向小白、小绿公开
2016-06-15:细节向机密小组成员公开
2016-06-21:细节向策划Liyu公开,官方确认信息。
【漏洞详情】
寄售行和交易存在数据溢出,导致物品价格(交易魔豆数额)变为负数,服务器验证异常。

当基本价格(总价)+20%手续费超出int型数值定义域时,则会溢出为负数。
魔法哈奇2也是一个道理:(由于魔法哈奇2手续费是卖家付,所以直接寄售时候就溢出)


同样,交易溢出时也会获得魔豆(在交易输入框内输入21亿4魔豆,无论你是否拥有,都能交易成功)


【漏洞评价】
程序员严重失误导致。
危害等级:★★★★★


IP属地:广东1楼2016-06-24 23:07回复
    可恶,我都下哈奇了


    IP属地:湖北来自Android客户端2楼2016-06-24 23:08
    回复
      2026-01-10 19:47:08
      广告
      不感兴趣
      开通SVIP免广告
      前排。


      来自iPhone客户端3楼2016-06-24 23:10
      回复
        帅爆了


        IP属地:湖北来自Android客户端5楼2016-06-24 23:14
        回复
          66666


          IP属地:北京来自手机贴吧6楼2016-06-24 23:46
          回复
            wochahahahha好厉害。


            来自Android客户端7楼2016-06-24 23:48
            回复
              怎么弄?


              IP属地:湖北来自Android客户端8楼2016-06-25 00:09
              回复
                【官方回应】
                Liyu:非常感谢!


                IP属地:广东来自Android客户端9楼2016-06-25 08:30
                收起回复
                  2026-01-10 19:41:08
                  广告
                  不感兴趣
                  开通SVIP免广告
                  可怕


                  来自Android客户端10楼2016-06-25 08:41
                  回复
                    补充:还需借助ce,wpe才能实现数据溢出。


                    IP属地:广东来自Android客户端11楼2016-06-25 08:47
                    收起回复
                      前排


                      来自Android客户端12楼2016-06-25 08:56
                      回复
                        倒数第二个骑凤凰的是我


                        IP属地:江苏来自Android客户端13楼2016-06-25 08:59
                        回复
                          66666


                          来自iPhone客户端14楼2016-06-25 10:43
                          回复
                            6666666


                            IP属地:重庆来自Android客户端15楼2016-06-25 12:08
                            回复
                              2026-01-10 19:35:08
                              广告
                              不感兴趣
                              开通SVIP免广告
                              作为一只好孩子我不利用漏洞,不用外挂


                              IP属地:广西16楼2016-06-25 12:25
                              回复