<p>Discuz! X3.1 <br></p><p>在完成任务时（home.php?mod=draw&do=view&id=xx），任务先前的状态缺少判断</p><p>完成任务的链接形如：</p><pre class=""><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">home.php?mod=draw&do=view&id=xx</code></pre><p>这个地址最终在 source\class\class_task.php 中被处理</p><p>约第370行：</p><pre class=""><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">function draw($id) {<br style="margin: 0px; padding: 0px;"> global $_G;<br style="margin: 0px; padding: 0px;"> if(!($this->task = C::t('common_task')->fetch_by_uid($_G['uid'], $id))) {<br style="margin: 0px; padding: 0px;"> showmessage('task_nonexistence');<br style="margin: 0px; padding: 0px;"> } elseif($this->task['status'] != 0) {<br style="margin: 0px; padding: 0px;"> showmessage('task_not_underway');<br...
<p>Discuz! X3.1 <br></p><p>在完成任务时（home.php?mod=draw&do=view&id=xx），任务先前的状态缺少判断</p><p>完成任务的链接形如：</p><pre class=""><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">home.php?mod=draw&do=view&id=xx</code></pre><p>这个地址最终在 source\class\class_task.php 中被处理</p><p>约第370行：</p><pre class=""><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">function draw($id) {<br style="margin: 0px; padding: 0px;"> global $_G;<br style="margin: 0px; padding: 0px;"> if(!($this->task = C::t('common_task')->fetch_by_uid($_G['uid'], $id))) {<br style="margin: 0px; padding: 0px;"> showmessage('task_nonexistence');<br style="margin: 0px; padding: 0px;"> } elseif($this->task['status'] != 0) {<br style="margin: 0px; padding: 0px;"> showmessage('task_not_underway');<br style="margin: 0px; padding: 0px;"> } elseif($this->task['tasklimits'] && $this->task['achievers'] >= $this->task['tasklimits']) {<br style="margin: 0px; padding: 0px;"> return -1;<br style="margin: 0px; padding: 0px;"> }<br style="margin: 0px; padding: 0px;"> ......<br style="margin: 0px; padding: 0px;"> 之后就是获得任务奖励了</code></pre><p>总觉得上面这一段少了些什么判断？我们对比下其他代码</p><p>约第473行：</p><pre class=""><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">function giveup($id) {<br style="margin: 0px; padding: 0px;"> global $_G;<br style="margin: 0px; padding: 0px;"> if($_GET['formhash'] != FORMHASH) {<br style="margin: 0px; padding: 0px;"> showmessage('undefined_action');<br style="margin: 0px; padding: 0px;"> } elseif(!($this->task = C::t('common_task')->fetch_by_uid($_G['uid'], $id))) {<br style="margin: 0px; padding: 0px;"> showmessage('task_nonexistence');<br style="margin: 0px; padding: 0px;"> } elseif($this->task['status'] != '0') {<br style="margin: 0px; padding: 0px;"> showmessage('task_not_underway');<br style="margin: 0px; padding: 0px;"> }</code></pre><p>这一段是放弃任务的判断，我们看到如果 $this->task['status'] != '0',就是说任务没有开始的时候，是不能放弃任务的。</p><p>但是，在上面那段获取任务奖励的代码中，并没有判断任务是否开始，造成了无需领取任务，就可以无限次数获取奖励。</p><p>此漏洞还可以用于强行获取由于用户组不符，没有权限领取的任务的奖励。</p><p>证明：</p><p>1、新建一个任务，就选择红包类任务吧<br><br>2、此时千万不要申请任务，而是进入任务详细页面（完成之后就不能刷了）<br><br></p><p>code 区域</p><pre><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">home.php?mod=task&do=view&id=2</code></pre><p><br>这样就能看到任务详情了，任务的奖励是 威望+1。<br><br>我们把地址改为领取任务奖励<br><br></p><p>code 区域</p><pre><code style="margin: 0px; font-family: 'Lucida Console', 'Courier New', Courier, mono, monospace; color: rgb(51, 51, 51); background-color: rgb(248, 248, 248);">home.php?mod=task&do=draw&id=2</code></pre><p><br>打开这个地址，获得了 威望+1。<br>不断刷新这个页面，即可不断获得奖励。</p>
