大米cms靶场漏洞报告

漏洞归属单位：大米cms靶场

系统名称：大米cms

漏洞名称：支付逻辑漏洞

漏洞等级：低

漏洞类型：逻辑漏洞

漏洞所在详细IP或URI：http://localhost:83/dami/

漏洞详情：

1.点击注册，先注册用户

点击注册，抓包，批量注册

发现可以任意用户批量注册，一下注册了50个账号

随便登录一个账号lyy105

可以登录，说明刚才批量注册成功

打开产品，购买一个，数量填-1

明显是一个支付逻辑漏洞。

漏洞影响：可以无限刷单，导致数据庞大影响查询速度，影响用户体验

修复建议：严格控制每个参数的输入，严格校验

后门、上传脚本、改动代码或配置等情况：无