1.首先是先注册一个戴尔的账号。
2.选择你看中的外星人。
3.然后加入购物车
4.支付(别选择用信用卡)
5.提交订单
6.这时抓包,然后找到paymanttype和hdexpress参数,把false改成true.
这个时候订单已经提交到服务器了,不管你有没有支付,你的订单在对方的服务器里都是已经支付成功的。什么?你问我为什么?因为我昨天晚上才测试,今天DELL的销售人员就打电话给我确认信息,说是准备发货了,问我地址填写是否正确。
吓得我赶紧说是测试漏洞。。。。。
之后那个销售客服太吊了,说我影响到他的销售业绩了,还说我是在犯罪,下次就报警.....你那么一个小职员,公司的安全不考虑,完全考虑自身......
为什么我要说是漏洞成功了。
如果说没有支付,那么我的订单是不会进入系统的。当时那个销售代表反复和我说已经支付成功了......我那个无奈啊,解释半天也解释不清。行,那么我发乌云吧。
于是今晚又测试一次,明天又会有电话打进来了。。。。。。
客服QQ:1735852232
客服电话:13459245324
小编可以打电话去问问,绝对事实。
同时后面还发现,只要点击登录支付宝,抓包更改fee参数,改为多少都行,然后支付页面会提示失败,这时再点击刷新,POST数据里面会包含用户的E-mail地址。
修复方案:
换个靠谱点的销售客服,别一报漏洞就跟我说法律道德.......