“0元购”支付逻辑漏洞的意外发现

迷南。 2023-10-16 15:48 6阅读 0赞

### 项目 ###

在某授权项目中对多个app进行漏洞挖掘的一次过程中，发现某一款app软件中可通过打卡的方式进行积分累积，累积后的积分可通过换购的方式在积分商城进行商品换购。随手对打卡获得积分的功能和购物的功能进行了任意的尝试，单当时并未发现漏洞的存在，在对购物功能初测时返回包报错如下：

![9cf29754f8afbf1519b75f4c493fac4c.png][]

看到异常后就没有再进行测试，当时认为系统都进行报错了，订单应该不能有问题。直到我隔日打开自己的手机发现我的快递软件无缘多出两个新的快递时。在我还在为快递疑问时我想到了昨日重放的两次返回空指针异常的订单数据包。

![d2a42de63d7d64434e881beda1b1046e.png][]

![aa5926642244c3cc8e9cd8b811102b63.png][]

于是继续测试app进行漏洞的复现。

![b993580fe6083a7c0524f68e69e7a7d1.png][]

具体挖掘的过程如下：

下载安装包后发现该app做了简单的防护无法直接通过burp代理进行抓包，直接上Xposed+JustTrustMe。我使用的测试环境为HUAWEI nova 3，现在的手机能够开启root安装Xposed非常麻烦，几乎都进行了相关的限制，这里推荐一个virtualXposed工具，使用还是比较方便的，对于小白来说免去了环境的配置相关root解锁的过程就可以实现相应的功能。

在virtualXposed中安装运行app，然后进行注册登录，登录后在“我的”可看到积分商城功能。

![b0ed0ad8bf973a53b36a0eb1c4786987.png][]

应用的功能为通过签到或其他任务赚取积分，然后使用积分进行兑换或者使用微信支付宝充值获取积分，积分商城使用积分进行购物。

首先打开积分商城选择想要购买（baipiao）的商品进行查看，然后点击下方的立即兑换（lijibaipiao），弹出兑换数量，继续点击立即兑换（lijibaipiao）。

![395f0411654fa270be502b02cd558785.png][]

![16392a54f71e9ae2d0eb242773ea579a.png][]

![2f05fc354669c5c33a3655ce28cc57c4.png][]

![a27413d6d3c5f07107bf54baf04c1d7e.png][]

在弹出的创建订单界面填写收获地址收获信息，然后开启burp拦截数据包，点击“提价订单”拦截数据。

然后我们将num参数修改为0如下进行放包。该数据包放包后返回包会提示空指针异常。这时应用进入支付页面提示我们支付积分，支付数量为0。

![f0fa706ade27f318da8c3ab02c1405ed.png][]

![8f55b0f600055a6367c9e28f3290e979.png][]

支付时有概率发生支付异常，在我的订单页面可查看到订单，点击付款（bapiao）进行付款。

![616cc612eab22996d0559e12bca184d8.png][]

这时候我们会看到

![57144ca7aa3486c7beb54d1d1cc672aa.png][]

然后过段时间会发现

![46db892003633ed6a66254ecc0a04870.png][]

然后我们只需要静静的等待。

![de3e8085f3203b84c70589343cbce6e6.png][]

![0128947a70a29f215809c2054e4497a0.png][]

![4483bbc96b9b71b2a6cffb1d5253839e.png][]

![68152233ef0396271dd8ada4153aaa94.png][]

本次漏洞挖掘均在授权下进行测试，漏洞详情已报告形式提交给开发者，漏洞已完全修复。

## **题外话** ##

**初入计算机行业的人或者**大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

*  2023届全国高校毕业生预计达到1158万人，就业形势严峻；
 *  国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

**2022届大学毕业生月收入较高的前10个专业**

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

![4be92541bcf54204bd0193aedd39c791.png][]

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

#### **网络安全行业特点** ####

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

![d5f06d6b9945fd6e8a5f92a0198e5446.png][]

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

![9cf857398f52a97ff49d437ac5fe690a.png][]

**行业发展空间大，岗位非常多**

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

**职业增值潜力大**

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

**黑客&网络安全如何学习**

**今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。**

#### **1.学习路线图** ####

![f6d7a70326a6c0071cc4dc6b3eeb8f95.png][]

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

#### **2.视频教程** ####

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

![0d8fcc94a8238255b741c19633efd10c.jpeg][]

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

**[CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享][CSDN]**

#### **3.技术文档和电子书** ####

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

![63797fd6c6664609870eac7e724a37db.jpeg_pic_center][]

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

**[CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享][CSDN]**

#### **4.工具包、面试题和源码** ####

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

**[CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享][CSDN]**

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

![da1274937756ef025cecc0439519a3d4.png][]

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

**[CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享][CSDN]**

[9cf29754f8afbf1519b75f4c493fac4c.png]: https://img-blog.csdnimg.cn/img_convert/9cf29754f8afbf1519b75f4c493fac4c.png
[d2a42de63d7d64434e881beda1b1046e.png]: https://img-blog.csdnimg.cn/img_convert/d2a42de63d7d64434e881beda1b1046e.png
[aa5926642244c3cc8e9cd8b811102b63.png]: https://img-blog.csdnimg.cn/img_convert/aa5926642244c3cc8e9cd8b811102b63.png
[b993580fe6083a7c0524f68e69e7a7d1.png]: https://img-blog.csdnimg.cn/img_convert/b993580fe6083a7c0524f68e69e7a7d1.png
[b0ed0ad8bf973a53b36a0eb1c4786987.png]: https://img-blog.csdnimg.cn/img_convert/b0ed0ad8bf973a53b36a0eb1c4786987.png
[395f0411654fa270be502b02cd558785.png]: https://img-blog.csdnimg.cn/img_convert/395f0411654fa270be502b02cd558785.png
[16392a54f71e9ae2d0eb242773ea579a.png]: https://img-blog.csdnimg.cn/img_convert/16392a54f71e9ae2d0eb242773ea579a.png
[2f05fc354669c5c33a3655ce28cc57c4.png]: https://img-blog.csdnimg.cn/img_convert/2f05fc354669c5c33a3655ce28cc57c4.png
[a27413d6d3c5f07107bf54baf04c1d7e.png]: https://img-blog.csdnimg.cn/img_convert/a27413d6d3c5f07107bf54baf04c1d7e.png
[f0fa706ade27f318da8c3ab02c1405ed.png]: https://img-blog.csdnimg.cn/img_convert/f0fa706ade27f318da8c3ab02c1405ed.png
[8f55b0f600055a6367c9e28f3290e979.png]: https://img-blog.csdnimg.cn/img_convert/8f55b0f600055a6367c9e28f3290e979.png
[616cc612eab22996d0559e12bca184d8.png]: https://img-blog.csdnimg.cn/img_convert/616cc612eab22996d0559e12bca184d8.png
[57144ca7aa3486c7beb54d1d1cc672aa.png]: https://img-blog.csdnimg.cn/img_convert/57144ca7aa3486c7beb54d1d1cc672aa.png
[46db892003633ed6a66254ecc0a04870.png]: https://img-blog.csdnimg.cn/img_convert/46db892003633ed6a66254ecc0a04870.png
[de3e8085f3203b84c70589343cbce6e6.png]: https://img-blog.csdnimg.cn/img_convert/de3e8085f3203b84c70589343cbce6e6.png
[0128947a70a29f215809c2054e4497a0.png]: https://img-blog.csdnimg.cn/img_convert/0128947a70a29f215809c2054e4497a0.png
[4483bbc96b9b71b2a6cffb1d5253839e.png]: https://img-blog.csdnimg.cn/img_convert/4483bbc96b9b71b2a6cffb1d5253839e.png
[68152233ef0396271dd8ada4153aaa94.png]: https://img-blog.csdnimg.cn/img_convert/68152233ef0396271dd8ada4153aaa94.png
[4be92541bcf54204bd0193aedd39c791.png]: https://img-blog.csdnimg.cn/4be92541bcf54204bd0193aedd39c791.png
[d5f06d6b9945fd6e8a5f92a0198e5446.png]: https://img-blog.csdnimg.cn/img_convert/d5f06d6b9945fd6e8a5f92a0198e5446.png
[9cf857398f52a97ff49d437ac5fe690a.png]: https://img-blog.csdnimg.cn/img_convert/9cf857398f52a97ff49d437ac5fe690a.png
[f6d7a70326a6c0071cc4dc6b3eeb8f95.png]: https://img-blog.csdnimg.cn/img_convert/f6d7a70326a6c0071cc4dc6b3eeb8f95.png
[0d8fcc94a8238255b741c19633efd10c.jpeg]: https://img-blog.csdnimg.cn/img_convert/0d8fcc94a8238255b741c19633efd10c.jpeg
[CSDN]: https://mp.weixin.qq.com/s?__biz=Mzg2OTM0MTYwNw==&mid=2247485343&idx=1&sn=1abafab670cea0773c36c46d394f5538&chksm=ce9fc757f9e84e41c2e86c956b4e93aaf4472b27ff3e94fe89e78f014db6f1b0261b15fa794f&token=1512649782&lang=zh_CN#rd
[63797fd6c6664609870eac7e724a37db.jpeg_pic_center]: https://img-blog.csdnimg.cn/63797fd6c6664609870eac7e724a37db.jpeg#pic_center
[da1274937756ef025cecc0439519a3d4.png]: https://img-blog.csdnimg.cn/img_convert/da1274937756ef025cecc0439519a3d4.png