妹子说缺个乐phone,尼玛俺一个搬砖的实在买不起!看了青橙的网上购物,手机真心便宜啊!但是,还能更便宜么?
1.老规矩,站点如下:
http://www.51greenorange.com
2.还是看俺如何一步一步购买的吧!先买个Mars1升级版小绿,¥599啊,这么便宜呢!
3.加入到购物车,嗯!这里是需要599元的哦。然后点继续购物啦!
4.买个便宜的吧,Mars1白色,只需499元,更便宜啦!加入到购物车:
5.这个时候,加上代理,操上burp suite,看下支付的数据,这里是GET方式提交给服务器的,抓包如下
GET /addtocart.aspx?qty=1&pid=1427&color=%u82F9%u679C%u7EFF HTTP/1.1这里当然pid应该是商品的编号,服务端根据这个pid,从数据库中查询出价格,所以这里确实是改不掉金额了。不过话说是不是可以改成其他的pid呢?qty是购买手机的个数。这里改成-1啦!如下
6.看看购物车里面的情况吧!
7.点击确认结账了,生成的最终订单只需110元哦,这个数字不吉利啊!我不干坏事啊不要找我呢!
8.购买吧,到支付宝支付啦!
修复方案:
1.像金额这样的信息不要放在页面上,确实有随时被篡改的风险,这些信息本来就在数据库中,可以定义一个字符型的字段代替金额的传输,或者直接由商品唯一标识来查询数据库得到金额;
2.签名校验是最重要的了,将购买的商品、数量、金额(或替代字段)、订单的ID号生成一个校验字符串。在每次数据传输的过程中进行校验,当然这个校验的内容可以多次生成;
3.银行或者第三方支付平台的支付接口都会检验商户的订单数据签名,这里当支付页面跳转到块钱的时候没有做签名校验,导致金额数据被篡改,请进一步确认接口问题;
4.支付前需要做签名校验,支付之后同样需要再次做校验,按理说所有银行应该在支付完成之后返回一些信息(如支付金额等)给商户,这样可以通过回来的信息判断是否全额支付;
5.还有什么比SSL更可靠的呢!