发现之前

在前段时间看到了好像是一个支付宝的漏洞那个人修改了电脑的时间然后可以提前秒杀抢购商品，于是这个洞在弟弟我的心里深深的记住了，于是就有了后面的发现

发现过程

在刚刚加入火线某个私密项目，在翻看这个项目的某个app时发现了有做关于双十一那样的活动，然后看到了几点抢券的地方，如下图

这让我心里不禁想起来了前段时间看到的那个支付宝的漏洞，然后抱着试一试的态度我就拿出来了我的武器--burp，开始抓这个app的包，然后不抓不知道，一抓吓一跳，这里抢券的页面对于时间的验证前端的响应包竟然是明文我淦

我就想要不用我武器的一个技能来把这个响应包的时间修改一下看看？

于是我把这个前端的返回全部修改成了已经过去的日期，然后惊人大发现，我竟然可以提前领取这个券？！
然后我怀着不安的心去点这个马上抢，然后发现竟然返回不在活动时间，这里我直接原来是我自己骗自己，这时候夜深了e个人就去网抑云了以为自己要赚到钱了，然后在床上躺着思考人生，继续想这个该怎么利用，突然灵光一闪，我点击这个马上抢的时候能不能抓到包呢，想到了就立马开始尝试，于是重新打开我的电脑和burp开始抓包，果然可以抓到这个抢券地方的包哈哈哈，然后我对着这个数据包想了想，我该怎么利用他呢，然后这里想了好久也没想到该怎么利用，就继续回到宿舍小床面对天花板思考，突然想到，我以前抢鞋从来没抢过人家因为人家可能用的什么软件我手点击的没有他们快，那我可不可以用burp不断地重放这个数据包来抢这个券呢，这个想法在我脑海里浮现出来以后，想马上下去尝试一下，突然发现，现在不是抢券的时间要等到第二天，夜深了，室友们都在呼呼大睡，只有我e个人还在对着天花板发呆...

结果

终于等到了第二天，我提前修改好了时间抓到了抢券的包，配置好了我的burp，null playload10000次

然后用另一个账号准备一起抢看看能不能抢到，然后在时间还有一分钟的时候，启动我的intruder，成败在此一举，12:00过了，我那个手抢的账号毫无疑问的陪跑了，我小心的打开了我另一个账号，发现，我竟然多了一张现金券！！！

最终我的想法通过了，为了再验证一次，我又在另一个时间又抢了一次哈哈哈，然后就美美提交了这个漏洞，最终获得了高危的评级

写在最后

秒杀商品那个原理是和这个抢券一样的所以没有写，平时有什么奇思妙想一定要第一时间去实行哈哈哈哈，说不定就发现什么新奇的漏洞了呢，希望大家给弟弟这篇第一次发的水文点点赞哈哈哈，希望能够结交更多的大佬

loading大哥的指点

大哥说看了我的文章写的有点懵，然后这里再说一下我关于这个的想法

我的想法是我通过burp修改了前端的时间，这样就可以提前进入抢券的那个页面，但是我还是没有办法去直接抢这个券，但是我可以提前抓到抢券那个包，于是我就想在快要到抢券的时间通过burp来不断的去发这个包，人手肯定没有burp快，所以我就可以抢到这个券了