优惠券漏洞，算是一个老生常谈的漏洞了，一般都是中低危，并且该漏洞非常常见，在企业src中，算是一个刷钱小技巧，比如并发领取优惠券、优惠券叠加使用..... 但是在测试中我还发现了一个其他思路，不要只局限于自己的优惠券！
创建一个账号A, 在账号A这里点击查看优惠券，然后进行抓包，再抓取返回包，可以查看所有优惠券的ID
这是账户A的优惠券ID
可以看到，优惠券ID为208493, 但是优惠券的使用，是有要求的，需要至少满足50元才可以使用！
下面再注册一个账号B,下面这个是我账号B的满50优惠6元的优惠券ID
可以看到优惠券ID为 208507
漏洞点所在，把账号B的优惠券id改成账户A的优惠券id
然后在账号B上面找一个价格在50-90之间的商品进行购买。
点击购买后进行抓包。(该商品原本价格76元)
将这个coupon_id改成账号A的优惠券id，然后抓取返回包。
也就是账号B越权使用账号A的优惠券。
不要发送repeater进行测试，因为越权的优惠券只能用一次，用后直接废弃了。这里直接抓返回包。
抓取返回包，发现返回包成功。
然后弹出支付界面，是70元，而不是76元。
危害: 可以通过爆破优惠券后四位数进行获取其他人的优惠券id，获取后直接替换coupon_id然后达到使用其他人优惠券的目的，还可以直接废弃别人的优惠券。
其他: 在使用别人优惠券后，只能使用一次，不要进行多次发包，使用之后该优惠券就直接废弃了。会提示优惠券过期或者不能使用。
修复建议: 建议将优惠券id和个人账户进行绑定。
原文始发于微信公众号（猎洞时刻）：SRC 奇特的优惠券越权小分享
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论