逻辑漏洞——支付漏洞的原理与防御

目录

1.支付漏洞

1.1 案例一

支付三步曲﹣ 订购、订单、付款

1.2 重放数据

1.3 修改商品数量

1.4 修改支付状态

1.5 修改附属值

1.6 越权支付

1.7 无限制试用

2.总结

防御方法

---

1.支付漏洞

        支付漏洞是高风险漏洞也属于逻辑漏洞，通常是通过篡改价格、数量、状态、接口、用户名等传参，从而造成小钱够买大物甚至可能造成0元购买商品等等，凡是涉及购买、资金等方面的功能处就有可能存在支付漏洞
商户网站接入支付结果，有两种方式，一种是通过浏览器进行跳转通知，一种是服务器端异步通知。

• 浏览器跳转通知

基于用户访问的浏览器，如果用户在银行页面支付成功后，直接关闭了页面，并未等待银行跳转到支付结果页面，那么商户网站就收不到支付结果的通知，导致支付结果难以处理。而且浏览器端数据很容易被篡改而降低安全性（这种方式数据经过了客户端浏览器，极大的可能性被第三方恶意修改）

• 服务器端异步通知