业务数据安全--一分钱买电冰箱

商品支付金额篡改

典型案例----1毛钱买电冰箱

​ 电商类⽹站在业务流程整个环节，需要对业务数据的完整性和⼀致性进⾏保护，特别是确保在用户客户端与服务端、业务系统接口之间的数据传输 的⼀致性，通常在订购类交易流程中，容易出现服务器端未对用户提交的业务数据进行强制校验，过度信赖客户端提交的业务数据而导致的商品金额篡 改漏洞。商品金额篡改测试，通过抓包修改业务流程中的交易金额等字段，例如在⽀付页面抓取请求中商品的金额字段，修改成任意数额的金额并提 交，查看能否以修改后的金额数据完成业务流程。

​ 该项测试主要针对订单生成的过程中存在商品⽀付金额校验不完整而产⽣业务安全风险点，通常导致攻击者用实际⽀付远低于订单⽀付的金额订购 商品的业务逻辑漏洞。

实验

所有实验室 |网络安全学院 (portswigger.net)

自行注册

选择业务逻辑漏洞实验室：对客户端控件的过度信任

翻译页面：

点击进入实验网页：https://0a72005704ee41cb8150bb3b00820022.web-security-academy.net/

打开BurpSuite的浏览器

将实验页面url复制到BurpSuite的浏览器中，监测页面流量

根据官方给的账号登录，

在home页面

爆bp打开拦截，加入购物车

将金额改成1，放包，关掉拦截

实验成功
下一篇文章：
业务数据安全–任意商品购买

密码找回安全–接口参数账号修改