搜索

[9289] 2015-08-29_【盒子君独家】真任性！一个备胎1分钱？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-08-29_【盒子君独家】真任性！一个备胎1分钱？ 【 盒 子 君 独 家 】 真 任 性 ！ 一 个 备 胎 1 分 钱 ？ F r e e B u f   2 0 1 5 - 0 8 - 2 9 不 要 9 9 9 ， 不 要 6 6 6 ， 只 要 1 分 钱 ！ 被 虚 假 广 告 忽 悠 多 年 的 盒 子 君 本 来 已 对 各 类 被 虚 假 广 告 忽 悠 多 年 的 盒 子 君 本 来 已 对 各 类 “ 只 说 其 一 只 说 其 一   不 说 其 二 不 说 其 二 ” 的 夸 张 推 销 失 去 了 兴 趣 。 的 夸 张 推 销 失 去 了 兴 趣 。 谁 料 下 班 前 邻 桌 程 序 员 哥 哥 却 说 ： “ 1 分 钱 买 个 备 胎 ， 这 事 你 还 不 知 道 吧 ！ 分 钱 买 个 备 胎 ， 这 事 你 还 不 知 道 吧 ！ ” 盒 子 君 这 才 后 知 后 觉 地 发 现 ， 在 我 们 漏 洞 盒 子 漏 洞 盒 子 平 台 上 有 不 少 白 帽 子 提 交 了 汽 车 A p p 的 相 关 漏 洞 ， 仔 细 研 究 后 竟 然 惊 奇 地 发 现 ： 原 来 良 心 厂 商 都 去 做 汽 车 A P P 了 ！ 可 随 处 可 见 的 低 级 支 付 漏 洞 仿 佛 不 断 在 向 人 招 手 ： 1 分 钱 却 可 以 带 来 更 多 你 意 想 不 到 的 惊 喜 呦 。
为 了 确 认 1 分 钱 买 备 胎 这 事 儿 的 靠 谱 性 ， 盒 子 君 特 地 亲 自 模 拟 了 一 下 把 。 （ 其 实 就 是 为 了 过 把 1 分 钱 还 能 买 到 东 西 的 瘾 ！ ） 1 分 钱 买 轮 胎 分 钱 买 轮 胎 打 开 某 养 车 类 A p p 并 注 册 并 登 录 ， 随 意 挑 选 了 一 款 价 格 为 9 0 9 . 0 0 元 的 米 其 林 轮 胎 。 然 后 和 所 有 网 上 购 物 一 样 ， 立 即 购 买 → 网 上 支 付 ： 通 过 抓 取 数 据 包 （ 白 帽 子 测 试 常 用 手 法 ， 通 过 抓 取 网 络 上 的 数 据 包 以 到 达 分 析 、 处 理 和 解 决 网 络 问 题 的 目 的 ） 发 现 ， 居 然 可 以 篡 改 订 单 请 求 的 响 应 ， 于 是 轻 松 将 9 0 9 改 成 了 0 . 0 1 ：
当 我 们 再 回 到 A p p 进 行 支 付 的 时 候 ， 便 发 生 了 这 神 奇 的 一 幕 ： 结 果 订 单 就 完 成 了 ：
没 错 ， 就 只 花 了 1 分 钱 买 了 价 值 9 0 9 元 的 轮 胎 ， 是 时 候 多 买 几 个 备 胎 放 家 里 了   ( ● ’ ◡ ’ ● ) ！ 不 仅 如 此 ， 盒 子 君 还 尝 试 了 下 其 他 “ 1 分 钱 ” 的 服 务 。 比 如 ， 这 个 1 分 钱 买 价 值 5 0 0 元 的 养 车 年 卡 ：
1 分 钱 购 买 价 值 1 3 5 元 的 全 年 玻 璃 更 换 服 务 ： 1 分 钱 给 爱 车 打 蜡 ：
在 漏 洞 盒 子 平 台 上 ， 出 现 此 类 问 题 的 汽 车 服 务 类 A P P 不 在 少 数 ， 盒 子 君 真 想 搬 个 小 板 凳 ， 坐 下 好 好 劝 劝 各 位 厂 商 ， 别 光 顾 着 在 市 场 里 厮 杀 啦 ， 后 方 安 全 隐 患 实 在 太 多 ！ 当 然 ， 我 们 漏 洞 盒 子 的 安 全 团 队 也 给 出 了 专 业 解 决 建 议 ： 但 很 多 厂 商 安 全 技 术 水 平 跟 其 业 务 的 风 险 性 不 相 匹 配 ， 仅 仅 关 注 功 能 实 现 ， 而 往 往 忽 略 了 安 全 问 题 。 A P P 客 户 端 信 任 所 有 证 书 ， 过 度 依 赖 H T T P S 通 信 ， 请 求 缺 乏 必 要 签 名 以 及 服 务 端 A P I 接 口 逻 辑 漏 洞 成 为 安 全 问 题 重 灾 区 。 建 议 厂 商 从 业 务 和 产 品 开 发 之 初 就 考 虑 安 全 设 计 ， 重 点 对 A P P 的 业 务 逻 辑 ， 如 支 付 功 能 ， 提 现 功 能 ， A P I 接 口 做 安 全 测 试 。 更 多 漏 洞 的 详 细 技 术 细 节 ， 请 阅 读 原 文 F r e e B u f 漏 洞 报 告 或 者 登 陆 漏 洞 盒 子 了 解 漏 洞 详 情 。 * 漏 洞 盒 子 出 品 ， 转 载 请 注 明 来 自 F r e e B u f 关 注 黑 客 与 极 客 （ F r e e B u f . c o m ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理