记两岸同胞的逻辑碰撞

前言：
第一次挖这家src，看src自己给出的资产(赞一个)，打开网站是一个电子商务C2C业务，大致扫了一眼业务，网站功能挺多的，出了不少货，挖的过程中，导致一些诡异的逻辑被触发了，在此仅对系统业务逻辑类漏洞进行叙述分享。
正文：
<1>未授权批量删除购物车漏洞
(1) 第一个也是最想说的一类漏洞，基于网购平台，网站具有收藏/购物车等功能，此处漏洞触发点在购物车功能，系统设计了未登录用户也可以对商品进行添加购物车操作，我不李姐，正常的网站进行未登录操作收藏时应跳转到登录页面，登录后再进行收藏、加至购物车等操作。
(2) 但网站已运行多年，我只能理解为这就正常业务需求，网站对未登录用户进行了简单的会话标识，经过不断添加取消购物车，发现网站收藏是对商品id进行操作，且未登录用户可以对添加至购物车的商品进行删除操作，可以将此收藏商品所有用户(登录、非登陆用户)从购物车将此商品进行删除，重放删除请求，遍历商品id就可以达到未授权批量的效果，附图

(3) 不一会网站的客服就打电话了，说我频繁添加购物车操作，网站会给厂商发短信，厂商会给平台打电话咨询买家资金实力，我又不李姐了，我就添加个购物车而已，台湾的客服打电话给我，我还以为日偏了，这种未授权细心观察就能白捡。
<2>任意群组操作漏洞
(1) 个人中心的一处添加联系人和群组，可以创建联系人、群组。联系人、群组通过id标识。
(2) 由于群组id存在规律，可以修改id对他人群组进行任意操作，由于联系人id进行加密，且前端未解密而是直接拿服务端加密完的数据进行操作，加密完的群组数据为id20位，意为不可猜解，一般厂商不收，这里也没提交，但经过测试确实存在联系人确实也存在越权。

<3>会员模板越权使用漏洞
注册商家用户登录系统后，可以向平台进行商品发布申请，申请有免费版、付费版之分，但系统对非付费用户，进行了前端模板隐藏操作，例如:<–付费模板1 付费模板2付费模板3–>，只需要进行js代码修改，放开就可以直接使用,直接笑嘻嘻。
总结：
经过后期跟运营沟通，反馈站点是厂商收购的业务，自己独立运营，很多业务厂商那边也不是很清楚，很多业务逻辑有点脑洞大开，导致漏洞审核时间拖得比较久，均已修复，现发出思路跟各位表哥交流。

记两岸同胞的逻辑碰撞相关推荐

写个简单的飞机游戏玩玩
写个简单的飞机游戏玩玩侯亮 1 概述前些天看了<Android游戏编程之从零开始>一书中一个简单飞机游戏的实现代码,一时手痒,也写了一个练练手.虽然我的本职工作并不是写游戏, ...
企业管理软件的需求描述方法
需求是整个软件项目最关键的一个输入,据统计,不成功的项目中有37%的问题是由需求造成的.和传统的硬件生产企业相比较,软件的需求具有模糊性.不确定性.变化性和主观性的特点,在硬件生产企业中,产品的需求是 ...
BTC跟跌黄金，BCH领涨主流 2019.8.14
炒币小记 BTC上涨的逻辑之一就是跟随黄金避险上涨,昨天美国推迟对中国新增关税,贸易战或现缓和迹象,美股快速拉升,黄金出现快速跳水,跌破1500美元关口,尾盘收回,人民币汇率暴涨1000个基点, ...
TCP 拥塞控制详解
作者:engleliu,腾讯 PCG 开发工程师本文主要介绍 TCP 拥塞控制算法,内容多来自网上各个大佬的博客及<TCP/IP 详解>一书,在此基础上进行梳理总结,与大家分享.因水平有 ...
雨中的蚊子为啥不会被雨滴砸死？
全世界只有3.14 % 的人关注了爆炸吧知识在细雨中漫步是很浪漫的一件事,但作为蚊子,雨中飞行相当于天上掉汽车!你有没有想过,它们是怎么活下来的? 直到2015年,菠萝科学奖物理学奖颁给美国佐治亚 ...
【今日CV 计算机视觉论文速览第97期】Tue, 9 Apr 2019
今日CS.CV 计算机视觉论文速览 Tue, 9 Apr 2019 (showing first 100 of 124 entries) Totally 100 papers ?上期速览 ✈更多精彩请 ...
计算机用户在使用计算机文件时6,201606-计算机基础选择题(含答案)（6页）-原创力文档...
201606 D0179.信息科学的主要研究对象是( ).P3 A.通讯技术 B.算法 C.计算机技术 D.信息 A0180.信息论的创始人是( ).P1 A.香农 B.维纳 C.冯·诺依曼 D.爱因 ...
下拉框怎么获取label_拼多多-「关键词自然流量快速获取」访客暴涨秘诀
大家好,欢迎来到多多说电商. 这节内容我们就说说自然流量中关键词流量如何能够有效获取. 话不多说,我们直接进入主题: 我们首先明白客户的消费逻辑,不难理解,分为以下几类: 1:准确性关键词查找消费 2 ...
数字IC秋招手撕代码（二）50%占空比的三分频
数字IC秋招手撕代码(二)50%占空比的三分频题目设计思路与逻辑分频代码或逻辑分频代码异或逻辑分频代码题目用verilog实现三分频电路,要求输出50%占空比设计思路如果不限制 ...

记两岸同胞的逻辑碰撞

记两岸同胞的逻辑碰撞相关推荐

最新文章

热门文章