漏洞概要
关注数(24)
关注此漏洞
漏洞标题：珍爱网升级珍爱通支付金额可自行提交金额
提交时间：2012-05-12 14:23
修复时间：2012-05-17 14:24
公开时间：2012-05-17 14:24
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：16
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
Tags标签：
无
漏洞详情
披露状态：
2012-05-12： 细节已通知厂商并且等待厂商处理中
2012-05-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
珍爱通是珍爱网提供的一种会员服务，价格为2999.0无，但是由于数据提交过程中的审核设计缺陷，造成可以对该价格的任意修改
详细说明：
漏洞证明：
修复方案：
对提交的数据进行审核，或者在最后使用人工的方式进行支付后审核。
最好的方法你懂得的。
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-05-17 14:24
厂商回复：
漏洞Rank：13 (WooYun评价)
最新状态：
暂无
漏洞评价：
评论
-
2012-05-17 18:17 |
liliang13 ( 路人 | Rank:3 漏洞数:1 | 这是我的城市)
-
2012-05-17 18:17 |
xsser 
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2012-05-17 19:50 |
piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)
-
2012-05-18 19:48 |
winston ( 实习白帽子 | Rank:46 漏洞数:7 | nothing)
@piaoye 不太明白，最后数据已经到了信用卡的那里结账下了。为什么叫做表单无法改变呢？不太明白？
-
2012-05-18 20:19 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@winston 会不会和银行的付款金额有比对了，我测试某个在线支付的就是这个情况
-
2012-05-18 22:48 |
winston ( 实习白帽子 | Rank:46 漏洞数:7 | nothing)
网站已经更改了数据提交的方法，但是之前的时候不是这样的。我靠，出了问题还不敢承认，然后偷偷修改。郁闷
-
2012-05-18 22:50 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2012-05-19 11:43 |
piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)
@winston 是后来修改的？我是测试了几个支付方式都未成功，所以才上面所讲。若被提及后修复且还忽略的话就太无耻了
-
2012-05-20 20:15 |
winston ( 实习白帽子 | Rank:46 漏洞数:7 | nothing)
不是咱们分的问题是网站对问题的态度，发现的时间是2011年5月11日晚大概23点多，吧。上传漏洞的时候是12号了。然后13号的时候还测试了一下仍然有，就给他们发了邮箱过去。同时还发了wooyun的地址上来，然后就没有在看过，那天一下改了漏洞，然后还写了忽略。比较郁闷！图片都已经到了银行支付的地方了，只要是把卡号一输入就可以支付了。真特么郁闷人！
-
2012-10-09 20:09 |
yingzi ( 实习白帽子 | Rank:38 漏洞数:3 )
@winston 有时候会支付失败。会提示以订单金额不符，银行会和商户验证的。跳到银行页面不一定会成功。 一次成功的支付漏洞攻击。是要付钱后，能正常开始业务！ 而不是显示支付多少钱，就成功了~
-
2012-10-09 22:37 |
winston ( 实习白帽子 | Rank:46 漏洞数:7 | nothing)
@yingzi 明白，这可能就是一些网站对此类的问题不管的原因吧，好多的时候都有一个人工的审核，然后不合格的还是不会成为服务，因此就造成了可以在网络的逻辑环境下成为漏洞，但是用人力去修补了这个问题。嘿嘿。不过在一些以网络为主的网络公司中这种情况还是很多的，比如电子业务的网站支付成功多数就代表了服务成功
-
2012-10-09 22:39 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@yingzi @winston 我总觉得虚拟货币和便宜个一毛两毛的能看出来
