友荐广告投入充值金额可伪造 - 网站安全

来源：自学PHP网时间：2015-04-17 12:00 作者：阅读:次

[导读] 友荐广告管理账户充值金额可伪造为0.01元，由于只求个乌云邀请码，so只成功到支付宝支付页面为止，至于最终会是神马情况，没带网银，就请你们去验证了http://www.ujian.cc/pay/checkout1、...

友荐广告管理账户充值金额可伪造为0.01元，由于只求个乌云邀请码，so只成功到支付宝支付页面为止，至于最终会是神马情况，没带网银，就请你们去验证了

http://www.ujian.cc/pay/checkout

1、虽然前端有限制最少必须冲200，但后台未验证，可通过burp可成功修改金额为0.01，并进入到支付宝支付页面

2、账号也可以任意注册，无邮箱验证，无验证码验证，直接输用户名、密码就能注册了

充值页面，选取充200，

用burp修改金额为0.01元后，可进入支付宝页面，

下图中清晰显示了收款方信息，

修复方案：

1、后台验证充值金额

2、注册加个验证

更多文章推荐