实战 ｜ 记某色X商城支付逻辑漏洞的白嫖

gclome

原文链接：实战 ｜ 记某色X商城支付逻辑漏洞的白嫖

某天挖 edu 挖到自闭，然后想着 fofa 一下，看看有没有什么好玩的站点

​
好家伙，居然还真有这种商城，原谅我孤陋寡闻了。于是乎，想进去学习了一下
​

首先，进行了一下初步的信息收集
​
基本上都是伪静态的，没有什么发现可以明显判断其网站后端语言的地方在搜索框点击搜索后

可以发现这个地址并不能帮助我们判断该站的类型但也要尝试一下SQL注入
​

然后直接被 Ban IP了，索性放弃对这个地方的继续研究，继续翻找其他功能点。当我们点击订单查询时

​

可以发现Url 产生了变化
​
跳转到了登录注册页面，既然来都来了，注册一个看看有没有其他业务，黑不走空，哈哈哈
​
昵称处尝试打 Xss，发现也会被 Ban IP，那就先放一下，找找有没有什么业务逻辑漏洞吧。尝试购买一些商品，之前一直听说支付漏洞，但弟弟从没有真正遇到过，碰碰运气吧

​

点击购买，抓包发现 cookie 中出现了一个奇怪的参数
​
我们拿去urldecode 一下，看看是什么东西
​
那就猜测一下，可以看到前面应该是价格，后面是购买的个数，我们先改一下
​

编码回去，覆盖发包
​
因为在 cookie 里，所以传过去的每个数据中的 cookie 都要改
​
可以发现，我们的单价变为了 1，数量为 10，总额变为了 10，记录一下参数之间对应的关系

提交订单，修改cookie内的值，然后继续，页面跳转到了支付宝付款页面
​

点开支付宝，发现价格的确发生改变

​
没错，75元的商品，只需要17元即可支付，但是商家发不发货就不晓得了

意外惊喜

​然后，我有发现有个参数之前没测试，那就试一下吧
user_zheko，应该就是折扣的意思，那我修改一下，验证一下
已知 100 是无折扣，那我改成 0 呢？发现无法弹出地址的那栏
​



改成 1 后，果然享受了一折优惠，哈哈哈哈
​
可以发现，只用支付 14 元了，享受 1 折优惠继续缴费操作，然后还有7元邮费<万恶的商家居然不包邮>，然后支付21元，即可把增*器带回家，想想就刺激呢！

​

文末总结：

1、挖洞还是就一句话，心细则挖天下！
2、面对逻辑漏洞，一定要注意每个页面交互跳转时的参数，尽可能的去猜测传的每一个参数的作用是什么。Burp看不方便的话 F12 也可以看到，看自己喜好和习惯了。一定要细心去测，不要放过一些细小的点，说不定就会有惊喜
3、订单查询都没发现可以越权，没想到支付点居然是前端可控的，嘿嘿嘿