Web业务安全测试方法（2）—低价购买商品

1. 低价购买商品漏洞

这种漏洞比较少见，毕竟这影响到公司的收入，搞不好公司会损失惨重。首先说下漏洞类型：

• 前端传价格，后台未校验
• 支付订单时，还可以添加物品

1.1 什么地方容易出现此类问题？

• 价格从前端传入的时候。自己卖东西肯定知道价格，还有必要从用户告诉你价格，从前端输入吗？所以价格从前端传入时，最容易出现此问题

• 支付订单时，后台价格已经固定了，这时候添加额外的商品，后台不更新价格就会出现此问题。

1.2 越权实例

还是从乌云找几个示例来说明下：

1.2.1 前端传价格型漏洞——百合网支付漏洞-泡妞秘籍一元购

支付价格数据包

分析此数据包，发现支付价格为total，修改为1，就能实现1元购泡妞秘籍。注意价格从前端输入.

1.2.2 支付订单时，添加商品

支付订单时，有多个商品ID，这时候再添加一个上铺ID就能实现低价购买商品了。

1.3 修复方法

一定一定不要从前端输入商品的价格，后台进行校验。