微信号:grzlwx

介绍:光荣之路官方资讯

支付漏洞的三种常见类型(一)

2015-09-11 23:59 光荣之路


很久很久以前剑心大叔叫我写过这样一篇文章,当时还没放假,就没去搭理他,嘿嘿。最近,小E又来找我写关于支付漏洞的文章,好吧,写就写了,趁暑假还有一点余额,就写这篇文章和大家来谈谈支付漏洞。(写得不好,大牛勿怪)

[各种求WB换爱疯......]

----------

根据乌云上的案例,支付漏洞一般可以分为三类:一是在支付过程中直接发送含有需支付金额的数据包;二是没有对购买数量进行限制;三是程序的异常处理。下面就和大家说说这三种情况。



一:支付过程中直接发送含有需支付金额的数据包(常见)

危害指数:星星星星星

这种案例非常常见,主要针对支付宝等需要第三方支付的案例。开发人员往往会为了方便,直接在支付的关键步骤数据包中直接传递需要支付的金额,这种,只需要开个Fiddler2,甚至是直接通过审查元素就可以修改到需要支付的金额。我们来看一看乌云上的几个案例:

[link href="WooYun: 顺丰宝业务逻辑漏洞"]顺丰宝业务逻辑漏洞(WooYun-2011-02272)[/link] @空虚浪子心

[link href="WooYun: 淘宝网某处存在严重支付漏洞"]淘宝网某处存在严重支付漏洞[/link](WooYun-2012-07293) @imlonghao

[link href="WooYun: 考试吧支付缺陷"]考试吧支付缺陷(WooYun-2012-07380)[/link] @jxs

[link href="WooYun: 263通信某处存在严重支付漏洞"]263通信某处存在严重支付漏洞(WooYun-2012-07528)[/link] @imlonghao

这里我就以淘宝网的那个支付漏洞来讲解一下,淘宝网手机充值这个地方的漏洞最为典型。



从这个发送的数据包中,我们可以发现开发人员直接将金额(seriesPrice)和购买短信的数量(seriesNum)一起发送,这是十分危险的操作。 黑客可以通过修改seriesPrice和seriesNum的值,来达到1元购买10000条短信甚至是更多的短信数量。

从经济利益上来讲,这对厂商来说是一个大的损失,中间差额非常巨大!

不过,厂商非常负责任,当天就确认了漏洞并进行了排查。

修复方案:不直接在数据包中加入需要金额和数量等敏感数值。

以上面的漏洞为例,这些短信都是以套餐的形式出售的,可以发送套餐的ID,然后由服务器来生产金额和数量,然后直接生成KEY走支付宝。

(未完待续)

(作者:imlonghao 来源:http://zone.wooyun.org/content/878)


 
            
 
            
 
            
 
           
 
           
 
           
 
           
 
           
 
           
 
           
 
           
 
           
 
           

一字一句当思来之不易,感谢作者,传播测试知识、技能与正能量!

光荣之路软件测试培训

官网:http://www.gloryroad.cn/

微信公众号:gloryroadtrain

性能测试QQ群:415987441
软件测试招聘QQ群: 203715128
自动化3群QQ: 371211499


 
光荣之路 更多文章 今天晚上的 linux 公开课- Awk 编程 7月28日(今天)晚上的 linux 公开课- shell编程 8月4日(今天)晚上的 linux 公开课- shell编程 9月1日(本周一)晚8点半,光荣之路Web自动化系列基础课—javascript第二讲 推荐本好书《与机器赛跑》
猜您喜欢 快报 | JAVA基础班开班啦!! Bugtags 创业一年总结 腾讯分析系统架构解析 2小时搞定移动直播App开发 开始学习 攻克微服务的最大难关:用户数据