记一次逻辑漏洞（3）

2024年12月3日13:39:23评论8 views字数 385阅读1分17秒阅读模式

思路：

一些可以尝试一些特殊的支付方式，比如：XX电商系统支持的支付方式有哪些？微信、支付宝、、货到付款、银联等，但是其中一个促销折扣这类的版块，不支持某种方式，可以尝试把支付方式进行修改为其他支付方式可以达到不进行支付的绕过，而当订单超时没有进行支付会自动进行取消。

测试：

备注：举例：(非真实漏洞场景)

正常：用户选购商品——下单——付款——跳转抽奖页面——抽奖——结束

错误：用户选购商品——下单——特殊付款(不付款)——跳转抽奖页面——抽奖——结束

危害：

可以无限制的抽奖，因为是未付款所以即使最后结束了该订单但是原本的抽奖机会使用了，如果是抽奖积分/币这类的，可以直接进行商品费用的抵扣，那么是否会造成很低的价格购买商品。

如果商品A价格1000，但是积分最高可抵扣90%，那么只需要付款10%的费用。

原文始发于微信公众号（青春计协）：记一次逻辑漏洞（3）

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

【HTB】PermX靶机渗透