漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0174799
漏洞标题：酷我音乐会员0.01元购买成功存在支付逻辑漏洞
相关厂商：酷我音乐
漏洞作者： 我山之石-无
提交时间：2016-02-17 12:57
修复时间：2016-02-17 17:55
公开时间：2016-02-17 17:55
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-02-17： 细节已通知厂商并且等待厂商处理中
2016-02-17： 厂商已经确认，细节仅向厂商公开
2016-02-17： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
使用酷我网页版购买酷我会员，通过修改购买金额为0.01元购买成功原价10元/月的会员
详细说明：
1、找到酷我会员购买界面，使用微信支付方式
2、正常情况下需要通过扫描微信的支付验证码，支付10元购买一个月会员
3、0元购买时通过修改数据包的付费金额为0.01元，然后扫描微信支付成功后就可以成功成为会员了
修改为0.01元
继续操作
支付请求变为0.01元了
扫一下支付成功后重新登录查看
漏洞证明：
1、0.01元购买了酷我会员
2、银行扣款0.01元
修复方案：
1、对支付的金额做保护，仅做url编码是不可以的
版权声明：转载请注明来源 我山之石-无@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2016-02-17 14:14
厂商回复：
感谢对酷我的支持
最新状态：
2016-02-17：处理完成