记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

如何不花钱就买外星人电脑

2014-12-17 15:46

1.首先是先注册一个戴尔的账号。



2.选择你看中的外星人。



3.然后加入购物车



4.支付(别选择用信用卡)



5.提交订单



6.这时抓包,然后找到paymanttype和hdexpress参数,把false改成true.

这个时候订单已经提交到服务器了,不管你有没有支付,你的订单在对方的服务器里都是已经支付成功的。什么?你问我为什么?因为我昨天晚上才测试,今天DELL的销售人员就打电话给我确认信息,说是准备发货了,问我地址填写是否正确。

吓得我赶紧说是测试漏洞。。。。。

11.jpg



12.jpg



之后那个销售客服太吊了,说我影响到他的销售业绩了,还说我是在犯罪,下次就报警.....你那么一个小职员,公司的安全不考虑,完全考虑自身......

为什么我要说是漏洞成功了。

10.jpg



如果说没有支付,那么我的订单是不会进入系统的。当时那个销售代表反复和我说已经支付成功了......我那个无奈啊,解释半天也解释不清。行,那么我发乌云吧。

于是今晚又测试一次,明天又会有电话打进来了。。。。。。



客服QQ:1735852232

客服电话:13459245324

小编可以打电话去问问,绝对事实。



同时后面还发现,只要点击登录支付宝,抓包更改fee参数,改为多少都行,然后支付页面会提示失败,这时再点击刷新,POST数据里面会包含用户的E-mail地址。

漏洞证明:

1.jpg



2.jpg



3.jpg



4.jpg



5.jpg



6.jpg



7.jpg



8.jpg



9.jpg

修复方案:

换个靠谱点的销售客服,别一报漏洞就跟我说法律道德.......

知识来源: www.wooyun.org/bugs/wooyun-2014-086859

阅读:61165 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“如何不花钱就买外星人电脑”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云