友荐广告投入充值金额可伪造 - 网站安全 - 自学

友荐广告管理账户充值金额可伪造为0.01元，由于只求个乌云邀请码，so只成功到支付宝支付页面为止，至于最终会是神马情况，没带网银，就请你们去验证了

http://HdhCmsTestujian.cc/pay/checkout

 

1、虽然前端有限制最少必须冲200，但后台未验证，可通过burp可成功修改金额为0.01，并进入到支付宝支付页面

2、账号也可以任意注册，无邮箱验证，无验证码验证，直接输用户名、密码就能注册了

充值页面，选取充200，

 

 

 

用burp修改金额为0.01元后，可进入支付宝页面，

 

 

 

 

 

下图中清晰显示了收款方信息，

 

 

修复方案： 1、后台验证充值金额

2、注册加个验证

 

查看更多关于友荐广告投入充值金额可伪造 - 网站安全 - 自学的详细内容...