漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0107732
漏洞标题：老板电器官方购物商城任意修改价格且支付成功
相关厂商：老板电器
漏洞作者： dijxx0
提交时间：2015-04-15 19:11
修复时间：2015-05-30 19:12
公开时间：2015-05-30 19:12
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-05-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
最近看到乌云知识库中有一个支付漏洞专题，同时无意中看到老板电器的官方商城，无意中发现这个漏洞。
该漏洞可实现修改订单价格，实现任意价格成交。
详细说明：
一、首先选择一件商品，这里为了测试，选择商城中最便宜的一件商品作为测试
商品49元，“立即购买”后，通过fiddler拦截请求。
二、对价格进行修改
将“49”改成“1”
三、生成的订单中已经由49元变成1元了
四、生成订单后，进入支付阶段，通过拦截请求可知，此后的该订单的总价已全部变成1元了
五、付款选择支付宝，可以正常支付
漏洞证明：
这里用1元支付完成最后支付流程，订单最后完成
修复方案：
对支付产生关键影响的所有参数都应该签名，并且要做验证。
版权声明：转载请注明来源 dijxx0@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：8 (WooYun评价)