业务安全漏洞挖掘——业务数据篡改

2.修改

修复方案：加强验证

抓包，并修改数量为-1：

网站里出现未支付订单：

直接点击付款，马上就跳转到显示付款成功的页面：

账户余额增加了：

使用该账户余额正常购买别的商品：

利用余额支付成功：

很多商品限制用户购买数量时，服务器仅在页面通过js脚本限制，未在服务器端校验用户提交的数量，通过抓包修改商品最大数限制，将请求中的商品数量改为大于最大数限制的值，查看能否以修改后的数量完成业务流程。

部分应用程序通过Javascript处理用户提交的请求，通过修改Javascript脚本，测试修改后的数据是否影响到用户。