漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0103945
漏洞标题：优个网存在支付逻辑漏洞(1分钱支付)
相关厂商：yoger.com.cn
漏洞作者： px1624
提交时间：2015-03-26 17:01
修复时间：2015-05-10 17:12
公开时间：2015-05-10 17:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-26： 细节已通知厂商并且等待厂商处理中
2015-03-26： 厂商已经确认，细节仅向厂商公开
2015-04-05： 细节向核心白帽子及相关领域专家公开
2015-04-15： 细节向普通白帽子公开
2015-04-25： 细节向实习白帽子公开
2015-05-10： 细节向公众公开
简要描述：
诶，前天在优个网买了套乒乓球装备，花了700多块大洋！第一次用优个网，感觉这网站用来买体育器材还不错，客服态度蛮好的。然后搜了搜这网站，竟然还是国内最大的体育器材电商。但是整个购买过程中，一直感觉这网站的安全做的很水，所以今天就专门去再看看有没有啥安全问题。
详细说明：
1 这里随便选了个商品作为演示，未真正支付利用。
2 正常下单程序去下单，然后支付，直到这一步。
3 然后发现付款，其实就是访问链接
http://www.yoger.com.cn/API_pay/alipay_direct/alipayto.asp?orderID=po******_****&paySum=1090
4 发现前面的orderID就是订单号，后面的paySum就是支付的金额总和。
那么果断修改下再访问，把1090改成0.01。
http://www.yoger.com.cn/API_pay/alipay_direct/alipayto.asp?orderID=po******_****&paySum=0.01
5 呵呵，这样就可以一分钱购买了。
漏洞证明：
1 可以看到上图中，已经是跳转到了支付宝的支付页面了，已经是支付宝的域名了，所以优个的服务器已经无法控制了，这里我就不去支付了。
2 然后还有个问题需要说明，这里由于是在支付的时候进行的串改，所以在订单中显示的支付金额应该还是原价，所以一般也很难被发现吧。包括你们后台的录订单的信息应该也是正常的，只是支付宝的真正收款被串改了。
3 所以，有可能这个漏洞已经被不法分子给利用了，建议你们还是自己排查排查下吧。目测如果被利用，然后要找出来，难度也挺大的！所以还是赶紧修补吧！！！
修复方案：
1 支付过程中加一个服务器生成的key，用户校验参数有没有被串改。
2 优个网真心挺不错，好多东西都好想买，求送点礼品卡。
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2015-03-26 17:11
厂商回复：
感谢您关注优个网，进行串改确实可以做到只支付1分钱，出站的数据我们没有进行检验，由支付宝完成，但接收回来的数据是会校验的，如果只支付一分钱，订单是无法完成支付的，而这1分钱会存入他的优个网帐户。
最新状态：
暂无