2015年07月23日15:01:08：

最终- -给了结果

目标:www.9pai.net

因为以下截图：

然后来写写。

两个漏洞。

1、地址泄露漏洞。全站用户的收货地址都能看到。

2、充值金额伪造漏洞。一分钱随便充。

 

第一个，演示一下。

先添加一个地址。

然后点击一下编辑，会抓到这样一个包。

改改 ID ，再看看，看到别人的地址了。

然后，写了个小程序，把全站的地址给拖下来了。

保护隐私

 

 

然后是第二个：

一分钱充值任意金额的漏洞。

进入充值页面。

然后，提交一个充值请求。抓到这样一个地址跳转的包。

然后改一下这个地址里的 v_amount ，改成0.01，

哈哈，一分钱支付吧。

充值成功～

 

注意：

1、加强验证

2、支付流程要改进。