关于支付漏洞方式的测试

一、修改支付价格
修改支付价格是支付漏洞常见的挖掘思路，在支付流程中，可以修改支付价格的步骤有很多，包括订购、确认信息、付款等等。在所有设计到价格的步骤中都可以尝试修改，如果网站在某一环节存在逻辑上的漏洞，就可以利用该漏洞对支付价格进行修改。

二、修改支付状态
有时，一个订单的支付状态是由用户提交的某个数据包的某个参数决定的。如果存在这种情况，我们就可以对比已经支付的数据包订单和未支付的数据包订单之间的差距。尝试找到这个标志支付状态的参数（如果存在的话），然后修改该参数，如果网站后台没有对该参数进行检验，那么就可能测试成功。

三、修改购买数量
在有的支付网站，支付金额是由购买数量*商品单价决定的，如果我们在数据包中修改购买数量，将其修改为负数或者小数，那么如果站点后台对此没有进行过滤，就有可能存在支付漏洞。

四、修改支付优惠相关数据
此外，很多大中型的支付站点，都推出了优惠券、积分返现、抽奖、试用期、打折等等的优惠功能。由于很多业务都是临时推出的，因此在开发逻辑上就有可能比之前上线很长时间的功能存在漏洞的可能性大很多，我们在进行渗透测试的时候，也可以着重测试这方面的逻辑问题。例如很多网站对之前的数据校验非常成功，但是对优惠券优惠的金额、积分返现优惠金额等没有进行检查，导致用户可以对这些信息进行修改，就造成了支付逻辑漏洞。再比如一些存在适用期限虚拟产品，如果适用期限存在漏洞，我们就可以修改适用期限的参数，导致我们可以无限期适用该茶品。

五、修改订单值
在支付前，站点通常都会产生订单号，订单号可以帮助站点标志不同的订单，如果我们可以修改订单号，就可以支付一个金额较少的订单，然后将订单号修改为金额较大的订单，从而达到少付多买的目的。

六、重复支付
重复支付主要是针对一些限购的商品，比如一个用户只能购买一个或者两个。这类商品通常是性价比非常高的商品，如果我们在购买时，对购买的数据包进行重放，如果站点内部验证逻辑不严密的话，就有可能造成重复支付的漏洞。

关于支付漏洞方式的测试相关推荐

fiddler修改支付金额_支付漏洞总结
请注意,本文编写于 113 天前,最后修改于 104 天前,其中某些信息可能已经过时. 快捷支付原理商户网站接入支付结果有两种方式,一种是通过浏览器进行跳转通知,一种是服务器端异步通知浏览器跳转 ...
3. 逻辑漏洞之支付漏洞
支付漏洞乌云案例之顺丰宝业务逻辑漏洞案例说明顺丰宝存在支付逻辑漏洞,可以允许用户1元变1亿元.这个漏洞在其他网站很难存在,原因是页面交互都使用了对字段做签名.但是顺丰宝没做签名,导致支付金额可以 ...
[6] 支付漏洞( 0 元购 )
<目录> 原理:支付 ...
逻辑漏洞之越权、支付漏洞
目录逻辑漏洞 Web安全渗透三大核心方向输入输出登录体系.权限认证业务逻辑漏洞分类 1.登录体系安全暴力破解 cookie安全加密测试登录验证绕过任意注册 2.业务一致性安全手机号篡 ...
必测的支付漏洞（二）支付流程中“幂等性”
看到这个标题,你们一定一脸懵逼吧哈哈哈~最近拜读了一篇很棒的文章,学习到了计算机中的一种思想--幂等性.然后联想到了之前测支付漏洞时的一个测试点,今天用本文跟大家分享一下幂等性这种思想吧~ 幂等性其实 ...
支付漏洞总结 / 在线支付流程安全分析
前言大家对支付漏洞的理解通常都是篡改价格,已有的对支付漏洞的总结也是对现有的一些案例的经验式归类,没有上升到对在线支付流程深入分析的一个层面.这里尝试从分析在线支付流程,在线支付厂商的接入方式开始, ...
【逻辑漏洞技巧拓展】————4、逻辑漏洞之支付漏洞
支付漏洞乌云案例之顺丰宝业务逻辑漏洞案例说明顺丰宝存在支付逻辑漏洞,可以允许用户1元变1亿元.这个漏洞在其他网站很难存在,原因是页面交互都使用了对字段做签名.但是顺丰宝没做签名,导致支付金额可以 ...
挖洞思路----支付漏洞篇
介绍看了好多篇关于各位大佬总结的支付漏洞的技巧.思路等.现在想自己总结一下,也借鉴了一些大佬级人物总结的思路,各位勿喷,觉得可以就看一眼,觉得不好就忽略我这小白.仅用于个人学习使用.写这篇总结,案例 ...
Web安全之支付漏洞
一.快捷支付原理商户网站接入支付结果有两种方式,一种是通过浏览器进行跳转,一种是服务器端一步通知基于用户访问的浏览器,如果用户在银行页面支付成功后,直接关闭了页面,并未等待银行跳转到支付结果页面 ...

关于支付漏洞方式的测试

关于支付漏洞方式的测试相关推荐

最新文章

热门文章