文章总结： 本文分享一个SRC漏洞挖掘案例，发现某站点新人会员领取接口中expire_time参数由客户端控制，服务端未校验。通过修改该参数为2099年，成功实现长期白嫖会员权益。漏洞成因是开发者只限制了领取次数，却忽略了参数可篡改。建议服务端对关键参数进行服务端计算和校验。 综合评分： 82 文章分类： 实战经验,web安全,漏洞分析,渗透测试,src活动

【SRC案例分析-18】客户端参数可控？看我如何给自己充会员

原创

low洞百出 low洞百出

low洞百出

2026年7月13日 10:00 湖南

在小说阅读器读本章

去阅读

免责声明：本公众号分享的日常渗透测试、网络安全及 SRC 漏洞挖掘相关文章，内容仅供学习交流与技术研究参考。严禁将文中技术、方法用于任何非法入侵、未授权测试、数据窃取等违法违规行为。若因擅自使用文章内容开展非法操作或传播文章，所引发的一切法律责任与经济损失，均由使用者自行承担，与本公众号及作者无关。如有内容侵权，请及时联系处理。

前言

关于逻辑漏洞还是那句话，只有你对业务逻辑足够熟悉，才能更好的挖掘出逻辑漏洞，此次案例完美诠释了什么叫“开发者防住了A，却忘了B”。

案例分享

在一次平平无奇的漏洞挖掘过程中，我发现了一个可以注册账号的站点。

刚注册完，页面“唰”地弹出一堆弹窗——全是推荐开通会员的。 什么“首充优惠”“连续包月特惠”“年度会员5折”……

哎，懂的都懂，这年头啥玩意儿都要会员。

正当我准备关掉页面时，眼角余光扫到个人中心有一条消息：”新用户注册，可免费体验7天会员权益”

7天？也行，白嫖谁不要，点击领取。

回到burp的历史数据包瞟了一眼，看到一个感觉有点不对劲的数据包，看样子应该是新用户领取会员权益的数据包，请求体中包含了用户注册时间，用户会员到期时间，然后返回结果是新用户权益领取成功。

POST /api/member/receive_free_trial HTTP/1.1Host: xxx.target.comCookie: session=abc123xyzContent-Type: application/json
{    "register_time": "2025-07-13 10:23:45",    "expire_time": "2025-07-20 10:23:45",    "user_id": "10086"}

看到这个请求体，我脑子里第一个念头是：等等……expire_time（会员到期时间）居然是我（客户端）传过去的？

一般会员到期时间应该是服务端根据“领取时间+7天”计算出来的，客户端只负责展示。

要知道大部分漏洞都是源于用户的输入，把到期时间放在请求体里让用户传，这等于把金库的钥匙交给保安，还跟他说“别乱用啊”。

那必须得试试呀，哈哈哈

如果用户能够自行控制账号会员到期时间，岂不是可免费享受会员权益？

说干就干，直接将数据包中的会员到期时间改成2099年，发送数据包

{    "register_time": "2025-07-13 10:23:45",    "expire_time": "2099-12-31 23:59:59",    "user_id": "10086"}

结果返回该账号已经领取过该权益

{"code":400,"msg":"该账号已领取过新人权益"}

看来还是做了校验的，只允许新人用户领取权益，并且只能领取一次

没办法，另外注册个新人账号试试，这次我学乖了：在点击“领取权益”之前，先开启Burp拦截。

当请求被拦下来的那一刻，我在Repeater里手动修改了请求体：

{    "register_time": "2025-07-13 10:30:00",    "expire_time": "2099-12-31 23:59:59",      "user_id": "10087"}

修改数据包，将数据包中的会员到期时间改成2099年，发送数据包返回领取成功。

{"code":0,"msg":"领取成功","data":{"expire_time":"2099-12-31 23:59:59"}}

回到个人主页查看，发现新注册的账号会员权益确实是延长到了2099年。

到了此时突然有点想笑，其实开始是想着能不能重复领取会员权益什么的，让自己能够白嫖会员时长，但是居然有限制，只限新人用户领取，并且只能领取一次。然而却遗漏了只需要修改第一次领取的数据包请求即可实现长期白嫖。

总结

典型的”防住了A，却忘了B”,这个“新人福利”我给满分,也是挖洞全靠捡的一次记录。

感谢关注，出货不迷路！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：low洞百出 low洞百出 low洞百出《【SRC案例分析-18】客户端参数可控？看我如何给自己充会员》