Webug4.0靶场通关笔记18- 第23关支付价格修改

mooyuan天天

于 2025-05-06 19:03:13 发布

阅读量961

点赞数 17

分类专栏： webug靶场文章标签： web安全 webug靶场支付漏洞逻辑漏洞

本文链接：https://blog.csdn.net/mooyuan/article/details/147722100

版权

webug靶场专栏收录该内容

35 篇文章

订阅专栏

本文通过《webug4.0靶场第23文件上传之支付价格修改》对客户端前端和服务端的代码进行审计，基于代码审计来分析渗透思路并进行渗透实战。

第23关支付价格修改

1.原理分析

很多中小型的购物网站都存在【订单金额任意修改】的逻辑处理问题。在提交订单的时候抓取数据包或者直接修改前端代码，然后对订单的金额任意修改。
经常见到的参数大多为：rmb 、value 、amount 、cash 、fee 、money 等。

支付逻辑漏洞是电子商务系统中危害性极高的安全风险，攻击者通过利用业务逻辑缺陷绕过正常支付流程，可能导致企业重大经济损失。主要利用方式如下所示。

Vulnerability	利用方法	实际案例
价格篡改	修改前端提交的价格参数	将`amount=100`改为`amount=0.01`
负数交易	提交负数数量或价格	`quantity=-1`导致账户余额异常增加
重复提交	拦截支付请求重复提交	利用网络延迟多次提交同一订单
状态覆盖	直接调用支付成功接口	跳过支付流程直接访问`/pay/success`
优惠券滥用	无限使用单次优惠券/暴力破解优惠码	重放优惠券使用请求
时间竞争	在支付超时前取消请求	支付系统处理完成前取消订单

2.打开靶场

http://192.168.71.1/webug4/control/auth_cross/cross_permission_pay.php

3.购买商品

bp开启抓包功能，在网页上购买商品，尝试是否可以进行价格修改为不合规的值。

选择第一个商品，点击立即购买，竟然直接购买成功了。要知道上图的右上角还有个登录提示框呢。这纯粹是心理安慰型的靶场，不过就当是体验吧一下逻辑支付的效果吧。

注意到此时的url如下所示。

http://192.168.71.1/webug4/control/auth_cross/cross_permission_pay.php?price=100

4.源码分析

如下所示，这确实就是意识流的支付逻辑处理错误，点击购买即购买成功，因此存在支付价格修改这个安全问题。

<?php

require_once "../../common/common.php";
if (!isset($_SESSION['user'])) {
    header("Location:../login.php");
}

if (isset($_GET['price'])) {
    if (!empty($_GET['price'])) {
        $price = $_GET['price'];
        echo "<script>alert('您花费了{$price}元购买了商品')</script>";

    }
}


require_once TPMELATE."/cross_permission_pay.html";

5.修改价格

（1）URL修改

将价格改为0.0.1元，如下所示。

http://192.168.71.1/webug4/control/auth_cross/cross_permission_pay.php?price=0.001

尝试将价钱修改为-100元，如下所示购买也成功了。

http://192.168.71.1/webug4/control/auth_cross/cross_permission_pay.php?price=-100

（2）bp修改抓包改价格

bp抓包并发送到repeater，如下所示。

将价钱改为-100元。

如上所示出现乱码，此时可以在bp专业版中配置， User options--->Display--->HTTP Message Display--->Font 选择中文字体，比如宋体、楷体都可以，如下所示。

配置完毕后效果如下所示。

将价钱改为0.01元发包，如下所示渗透成功。

6.防御方法

预防支付逻辑安全问题需要从多个方面入手，包括加强输入验证、加密处理、安全配置、代码审查等，以下是一些常见的预防措施：

输入验证：对用户输入的所有支付相关信息进行严格验证，包括信用卡号、密码、验证码等。使用正则表达式等方法确保输入的格式正确，并且符合预期的规则，防止 SQL 注入、命令注入等攻击。
加密技术：采用强加密算法对支付信息进行加密处理，包括在数据传输过程中使用 SSL/TLS 协议对网络通信进行加密，以及在数据库中对敏感信息如信用卡号、密码等进行加密存储，确保即使数据被窃取，攻击者也难以获取明文信息。
安全配置：合理配置支付系统的服务器和相关软件，及时更新安全补丁，关闭不必要的服务和端口，防止攻击者利用已知的CVE编号进行攻击。同时，设置严格的访问控制权限，确保只有授权的用户和程序能够访问支付相关的资源。
会话管理：建立安全的会话管理机制，生成随机且难以预测的会话 ID，并设置合理的会话超时时间。定期清理过期的会话，防止会话劫持攻击。
代码审查与安全测试：定期对支付系统的代码进行审查，检查是否存在安全问题，如未经验证的输入、未正确处理的异常等。同时，使用专业的安全测试工具对系统进行漏描和渗透测试，及时发现并修复潜在的安全问题。
监控与日志记录：建立完善的监控系统，实时监测支付系统的运行状态，及时发现异常的支付行为和潜在的攻击迹象。同时，详细记录支付相关的操作日志，包括用户登录、支付请求、交易结果等信息，以便在发生问题时能够进行追溯和分析。
第三方接口管理：如果使用第三方支付接口，要与可靠的支付服务提供商合作，并严格按照其规范进行集成。定期检查接口的安全性，确保接口密钥的安全存储和定期更新，验证回调地址的合法性，防止接口被恶意篡改或滥用。
用户教育：向用户提供安全支付的相关知识和提示，如不随意在不可信的网站上输入支付信息，定期更新密码，注意识别钓鱼网站等，提高用户的安全意识，减少因用户自身疏忽导致的支付安全问题。