漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-053054
漏洞标题：杭州纬聚网络有限公司旗下网站严重支付漏洞
相关厂商：杭州纬聚网络有限公司
漏洞作者： Ano_Tom
提交时间：2014-03-07 23:38
修复时间：2014-04-21 23:39
公开时间：2014-04-21 23:39
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-07： 细节已通知厂商并且等待厂商处理中
2014-03-09： 厂商已经确认，细节仅向厂商公开
2014-03-19： 细节向核心白帽子及相关领域专家公开
2014-03-29： 细节向普通白帽子公开
2014-04-08： 细节向实习白帽子公开
2014-04-21： 细节向公众公开
简要描述：
杭州纬聚网络有限公司旗下网站严重支付漏洞
详细说明：
具体为，又拍云存储存在购买空间和流量验证不严格的支付漏洞。在初次购买时，选择一定量的流量，拦截发送数据，进行修改，将流量的值设置为超大，具体未测试，之后选择支付，则费用会变的很低。如图
拦截数据，并修改flow
然后选择支付价格，变为9.5元，正常的话应该上百吧
然后结果如图
购买后的空间是可以使用 ，如下
漏洞成因是，后台支付验证逻辑有问题，建议修复。另外，我刷了10000000G的流量也用不完，如若收回请私信我获取我的订单id，我发现又拍云加速真的不错，网站存储的图片打开很快。望厂商积极修复，赠送我点空间啊，我要的空间不大，流量也不多。
漏洞证明：
见详细说明
修复方案：
请程序员喝茶！
版权声明：转载请注明来源 Ano_Tom@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-03-09 16:46
厂商回复：
感谢您对又拍云的支持
最新状态：
暂无