当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05586

漏洞标题：杂志铺网站存在支付漏洞

相关厂商：杂志铺

漏洞作者： 一刀终情

提交时间：2012-03-27 11:20

修复时间：2012-05-11 11:21

公开时间：2012-05-11 11:21

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-03-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-05-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

杂志铺网站存在支付漏洞

详细说明：

存在支付漏洞，厂商如果来的话，在WOOYUN找找就是了；测试成功后给客服邮箱发了邮件；订单中有实际支付金额，不过可能订单审核人员，没见过这么怪的订单，或者审核太匆忙，居然审核通过了~~

漏洞证明：

修复方案：

你们懂的~

版权声明：转载请注明来源 一刀终情@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：8 (WooYun评价)

漏洞评价：

评论

  1. 2012-03-27 11:28 | whhacker ( 路人 | Rank:0 漏洞数:1 | python爱好者， 汇编爱好者)

    支付宝的？网站应该有人工审核的吧

  2. 2012-03-27 12:13 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

    透露点喽……我去给希望学校订些。

  3. 2012-03-29 10:21 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    最终人工审核没通过，钱退了~大家散了吧@@

  4. 2012-05-01 23:28 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    @一刀终情 我去爱拍做测试被吞了一块钱。。

  5. 2012-05-02 10:49 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @imlonghao 这个会退钱，哈~~但是你赚了~

  6. 2012-05-02 22:08 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    @一刀终情 赚个鬼，亏了我一块钱，支付成功返回爱拍的时候说错误。。

  7. 2012-05-03 11:05 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @imlonghao 这个我也遇到好多次T_T，支付成功，返还有问题，然后钱就充上去了……

  8. 2012-05-11 19:23 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @imlonghao 你怎么不用0.01测试呢？

  9. 2012-05-11 21:24 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    昨天终于利用这种漏洞了一次，1分钱买了1年VPN ^_^“

  10. 2012-05-11 21:36 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    @冰锋刺客 乌云之。

  11. 2012-05-11 21:53 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    @imlonghao 我可是好人啊，我给论坛贡献了VPN，呵呵

  12. 2012-05-11 21:55 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    @冰锋刺客 我的意思是，发来乌云吧。。

  13. 2012-05-11 22:04 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    不敢啊，那个站会给人搞爆了，乌云的大黑阔太多了。 /尴尬

  14. 2012-05-11 22:42 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @冰锋刺客 测试可用，真的拿来用就不太道德了，上次我也碰到一个卖SSH的网站，有提供免费的和VIP的，直接一分钱买VIP，不过我直接通知管理员了。感觉这种东西要用还是自己花点钱买好了

  15. 2012-05-11 22:47 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    LS应该是测试可以。

  16. 2012-05-12 00:53 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    @popok 诶，我穷人诶，将近一千港币，杀了我吧 =_=!