漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-069694
漏洞标题：上品折扣网任意金额支付漏洞+存储型xss
相关厂商：上品折扣网
漏洞作者： evil
提交时间：2014-07-25 17:55
修复时间：2014-09-08 17:56
公开时间：2014-09-08 17:56
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-09-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
详细说明：
http://www.shopin.net/
注册账号 选一件商品
我这里随便找了一个
价格238的背包
加入购车
burp 抓包
238.00就是商品价格 把他改成1.00
成功修改
存储型xss
我的上品=》收货地址
![]LQ_]V_`KLOSJAR8}(_N`0C.jpg](https://w.hundan.org/articles/attach/201407/25165120f8709cbe7d4362581ff5025ae5c4ed94.jpg)
![A6WGOFVUPV9DQE{OZ]BC2F5.jpg](https://w.hundan.org/articles/attach/201407/25165140d9fe782d9011afa5ac0a20453eb3a86e.jpg)
漏洞证明：
![A6WGOFVUPV9DQE{OZ]BC2F5.jpg](https://w.hundan.org/articles/attach/201407/251654053223220a09737c45575f8438c94158d6.jpg)
修复方案：
支付漏洞属于逻辑错误，这里不应该将支付金额附带在GET请求中，就算调用了前台传递来的参数，也要过滤和筛选用户提交的数据。
重视安全测试，开发测试是一个整体，安全测试更是不能忽视的一个重要环节。
修复 程序猿懂
ps 求礼物
版权声明：转载请注明来源 evil@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝