漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-086859
漏洞标题：如何不花钱就买外星人电脑
相关厂商：戴尔中国
漏洞作者： Arthur
提交时间：2014-12-12 12:48
修复时间：2014-12-17 12:50
公开时间：2014-12-17 12:50
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-12： 细节已通知厂商并且等待厂商处理中
2014-12-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
路人甲说过，白帽子买东西是不用花钱的。
详细说明：
1.首先是先注册一个戴尔的账号。
2.选择你看中的外星人。
3.然后加入购物车
4.支付（别选择用信用卡）
5.提交订单
6.这时抓包，然后找到paymanttype和hdexpress参数，把false改成true.
这个时候订单已经提交到服务器了，不管你有没有支付，你的订单在对方的服务器里都是已经支付成功的。什么？你问我为什么？因为我昨天晚上才测试，今天DELL的销售人员就打电话给我确认信息，说是准备发货了，问我地址填写是否正确。
吓得我赶紧说是测试漏洞。。。。。
为什么我要说是漏洞成功了。
如果说没有支付，那么我的订单是不会进入系统的。当时那个销售代表反复和我说已经支付成功了......我那个无奈啊，解释半天也解释不清。行，那么我发乌云吧。
于是今晚又测试一次，明天又会有电话打进来了。。。。。。
同时后面还发现，只要点击登录支付宝，抓包更改fee参数，改为多少都行，然后支付页面会提示失败，这时再点击刷新，POST数据里面会包含用户的E-mail地址。
漏洞证明：
修复方案：
换个靠谱点的销售客服，别一报漏洞就跟我说法律道德.......
版权声明：转载请注明来源 Arthur@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-17 12:50
厂商回复：
最新状态：
暂无