某积分商城任意金额支付漏洞分析利用及思考

文章预览

扫码领资料 获网安教程 文章来源:  https: //forum.butian.net/share/2949 大部分开发人员在开发时都会有一种思维惯性，传参处处有校验==处处都可信，但这个等式并非恒成立 前言 这个漏洞是在工作中例行渗透测试的时候发现的，虽然前端做了防篡改措施，但这是很经典的没有后端校验导致的任意价格支付。 漏洞已在内部提交并确认修复。 漏洞描述 兑换积分商品时数据包会携带extendKey ，在分析js代码时发现，其值是商品id、数量、商品价格、可用积分这几项的拼接值，再进行加密得到的。本意是使用extendKey实现数据包关键内容二次校验防篡改，但extendKey的加解密方式以及key均写在js代码中，这就使得extendKey的篡改变得可行。在兑换积分商品时经解密发现其值会携带商品价格信息，篡改后实现任意使用任意积分对商品的兑换。 漏洞分析利用 0x01 加解密说明 ………………………………