某积分商城任意金额支付漏洞分析利用及思考

扫码领资料获网安教程大部分开发人员在开发时都会有一种思维惯性，传参处处有校验==处处都可信，但这个等式并非恒成立文章来源: https://forum.butian.net/share/2949前言这个漏洞是在工作中例行渗透测试的时候发现的，虽然前端做了防篡改措施，但这是很经典的没有后端校验导致的任意价格支付。漏洞已在内部提交并确认修复。漏洞描述兑换积分商品时数据包会携带extendKey ，在分析js代码时发现，其值是商品id、数量、商品价格、可用积分这几项的拼接值，再进行加密得到的。本意是使用extendKey实现数据包关键内容二次校验防篡改，但extendKey的加解密方式以及key均写在js代码中，这就使得extendKey的篡改变得可行。在兑换积分商品时经解密发现其值会携带商品价格信息，篡改后实现任意使用任意积分对商品的兑换。漏洞分析利用0x01 加解密说明在js代码 ………………………………