从团购网的漏洞看网站安全性问题

简介: 自从9月份在同事推荐下在某团购网买了一份火锅的套餐后,就迷上了,几乎每天必去浏览一遍,看看有什么又便宜又好吃的。

自从9月份在同事推荐下在某团购网买了一份火锅的套餐后,就迷上了,几乎每天必去浏览一遍,看看有什么又便宜又好吃的。元旦期间当然也不例外,1号那天上午,看到了XXX团购网的“VIP会员0元领红包”活动,0元?我最喜欢了,虽然参与过很多次0元抽奖的活动,一次也没中,但是人总是有一种信念相信自己的运气的。于是果断进去注册,点击购买,进入了购物车再点击确认订单,恩?怎么alert这么一句“本活动只限VIP会员参与”?我第一反应是去看页面源代码(由于该活动已经结束,进不去购买页面了,所以在这里我只好用伪代码来表示):

//确认订单按钮的点击事件
function btn_click(){
ajax获取当前用户的类型
如果不是VIP,alert("本活动仅限VIP会员参与");
否则 form1.submit();
}


  然后我在地址栏敲入:javascript:form1.submit(); 回车! 进入付款页面了,再点击确定,恩?购买成功!我获得了5元红包!




  太给力了!!!我又新注册一个账号,重复上面的步骤,也成功获得了5元红包。马上给客服留言说明此BUG,不过到今天还没回复我,呵呵。这个漏洞的关键点是开发人员忘记了在form1.submit()的后台代码中判断当前用户是否VIP会员,只依赖于javascript的验证。

  前台的验证顶啥用啊,完全可以绕过去,后台的验证才最重要!!有了上午的收获,1号晚上我就继续找别的团购网的漏洞,果然被我找到一个更严重的。该团购网也举行了一个元旦抽奖砸金蛋活动,也是免费参与,购买后发现得邀请好友参与活动才有砸金蛋的机会,邀请一个好友就多一个机会,如图:




  我一点击金蛋就alert一句“没有抽奖机会了快去邀请好友吧!”,恩,又是javascript?看看代码先:




  这便是金蛋的点击事件,其中有一个用AJAX去访问的页面lottery1.php,而要传过去的chance变量应该就是当前用户拥有的砸蛋机会。我试着直接访问lottery1.php?chance=1,返回error字符串,lottery1.php?chance=0也返回error,lottery1.php?chance=-1,也返回error,难道没效果么?我刷新了一下砸金蛋的页面,哇!!




  我传了-1过去导致溢出了?我试着砸了几个,每次都成功获得代金卷!!太给力了。接着试着用代金卷去下单,也能成功减免掉几块钱,不过一张订单只能用一个代金卷,呵呵(当然测试用的订单我最后取消掉了,本人还没那么邪恶,哇咔咔)马上联系客服,居然下班了,QQ不在线,电话打不通,只好留了个言。

  接下来干嘛呢?砸蛋呗!42亿的金蛋呢,写了段JS自动砸!截止现在一共有3588个金蛋被砸开,其中至少有2000多个是我砸的,哇咔咔得到了一大堆的代金卷:




  整整185页,呵呵,蛮壮观的!!!到了2号,我重新查看该团购网的代码时,发现了一个更严重的问题:

JS中有这么个方法




  乍一看是跟钱有关的吧,传入用户ID和钱的数目,试试有什么效果。用户ID怎么获得呢?别急,页面上有:

  这个96204就是我当前帐户的ID了,访问了一下,返回“线下充值成功”,哇,这么给力?充值页面都不加权限验证的?查看了一下帐户余额,果然充值成功了:




  哥有2万余额了,哇咔咔!!这个漏洞太致命了,立马给客服留言。刚留完言,他们的开发人员给我打电话了,和我讨论砸金蛋的漏洞问题,正好将刚发现的漏洞一起告诉他。开发人员就是命苦啊,元旦期间,晚上10点多了,他还要改代码。

改完他说老板可能送点礼品给我,好期待啊,呵呵。最后他把我的帐户余额清零了,我在心里呼喊:不~要~啊,我的2万元啊~~~~~~~~

  总结一下:前台的验证都是不靠谱的,后台必要都要验证一遍;管理页面一定要加访问权限;传递到后台的数据一定要进行合法性验证;不必要传递的参数就不传,比如那个砸蛋,我就想不明白为什么要把当前用户拥有的砸蛋机会传递到后台,直接从数据库中读取不行么?用户ID不要以明文出现。另外还要防范XSS跨站脚本攻击(一般用判断主机头的方式)

目录
相关文章
|
安全 前端开发 JavaScript
网站漏洞修复服务商对绕过认证漏洞的介绍
本月带给大家的是网站绕过认证漏洞。为了更好地确保业务管理系统的安全防护,基本上每一系统软件都是会存有各式各样的认证功能。普遍的几类认证功能就包含账户密码认证、验证码短信认证、JavaScript数据信息内容认证及服务器端数据信息内容认证这些,但写代码的技术员在涉及到认证方法时很有可能存有缺点造成被绕过,因此小结了下列几类绕过认证的姿态和大伙儿一块探讨探讨。
89 0
网站漏洞修复服务商对绕过认证漏洞的介绍
|
安全 网络协议 测试技术
如何对网站进行漏洞安全测试服务
进一步提高平台网站的安全系数,保证客户信息、输入数据、传送数据和有关数据在网站服务器实际操作中的安全系数。企业网站信息系统的安全测试范围实际有以下几条:服务器程序的代码经常组成网络安全问题,这一些安全漏洞又经常被网络黑客使用。因此还需要检测都没有通过认证,就不可以在服务器程序置放和编写代码的现象。安全系数在网站建设全过程中尤为重要,关联到企业网站将来发展的安全防护,不容忽视,也可以找专业的网站安全公司对网站进行安全测试,国内SINE安全,绿盟,深信服,启明星辰,鹰盾安全都是比较有名的。
90 0
|
SQL XML 安全
网站安全公司渗透测试常见的漏洞有哪些
我们SINE安全在进行Web渗透测试中网站漏洞利用率最高的前五个漏洞。常见漏洞包括注入漏洞、文件上传漏洞、文件包含漏洞、命令执行漏洞、代码执行漏洞、跨站点脚本(XSS)漏洞、SSRF漏洞、XML外部实体(XXE)漏洞、反序列化漏洞、解析漏洞等。,因为这些安全漏洞可能被黑客利用,从而影响业务。以下每一条路线都是一种安全风险。黑客可以通过一系列的攻击手段发现目标的安全弱点。如果安全漏洞被成功利用,目标将被黑客控制,威胁目标资产或正常功能的使用,最终导致业务受到影响。
287 0
网站安全公司渗透测试常见的漏洞有哪些
|
数据采集 移动开发 安全
网站安全公司之网站XSS攻击的危害介绍
笔者认为,这篇文章的完成,是一件高兴的事。由于本文是国内首本专门论述XSS的著作,因此本文的推出,为学习网络安全的新人提供了充足的学习材料,同时也为安全工作者提供了一份不可多得的参考手册,必将促使大家更加重视XSS安全技术。XSS攻击的危害一直未被多数开发者正确认识,甚至一些网络安全工作者也认为XSS「危害不大」。引起这一误解的原因很多。XSS攻击的危害是与特定的业务场景息息相关的。由于业务场景的不同,导致了不同的网络安全问题,其中有些场景风险大,有些场景风险小。但XSS作为一种漏洞类型,在描述其定义时很难将其定位到具体情况中。XSS攻击的危害程度,取决于业务场景的重要性程度。
217 0
网站安全公司之网站XSS攻击的危害介绍
|
SQL 安全 数据可视化
MetInfo最新网站漏洞如何修复以及网站安全防护
齐博cms整站系统,是目前建站系统用的较多的一款CMS系统,开源,免费,第三方扩展化,界面可视化的操作,使用简单,便于新手使用和第二次开发,受到许多站长们的喜欢。开发架构使用的是php语言以及mysql数据库,强大的网站并发能力。于近日,我们SINE安全公司发现齐博cms又爆出高危的sql注入漏洞,关于该网站漏洞的详情,我们来详细的分析漏洞的产生以及如何利用。
179 0
MetInfo最新网站漏洞如何修复以及网站安全防护
|
SQL 开发框架 安全
网站漏洞修复方案防止SQL注入攻击漏洞
SQL注入漏洞在网站漏洞里面属于高危漏洞,排列在前三,受影响范围较广,像asp、.net、PHP、java、等程序语言编写的代码,都存在着sql注入漏洞,那么如何检测网站存在sql注入漏洞?
155 0
网站漏洞修复方案防止SQL注入攻击漏洞
|
监控 安全 网络协议
网站防黑客攻击的建议
安全是网站的重要组成部分。在当今互联网信息时代,网站建设是一件非常普遍的事情,黑客的攻击是无所不在。但是网络黑客对网站的攻击让很多企业头疼,所以网站的安全部分要多加注意。企业网站建设的基础是网络,没有网络我们网站建设毫无意义,但对于网络,如果我们不能做好安全保护,会给企业带来不必要的麻烦,那么如何建立更好的网络安全系统呢?今天,SINE安全技术将带您了解这些知识。
155 0
网站防黑客攻击的建议
|
SQL 安全 前端开发
通过渗透测试服务来解决网站被黑客攻击
APP渗透测试目前包含了Android端+IOS端的漏洞检测与安全测试,前段时间某金融客户的APP被黑客恶意攻击,导致APP里的用户数据包括平台里的账号,密码,手机号,姓名都被信息泄露,通过老客户的介绍找到我们SINE安全公司寻求安全防护上的技术支持,防止后期APP被攻击以及数据篡改泄露等安全问题的发生。针对于客户发生的网站被黑客攻击以及用户资料泄露的情况,我们立即成立了SINE安全移动端APP应急响应小组,关于APP渗透测试的内容以及如何解决的问题我们做了汇总,通过这篇文章来分享给大家。
113 0
通过渗透测试服务来解决网站被黑客攻击
|
安全 网络安全
网站安全该如何做?怎么样才能防止被攻击
作为一名网络安全工程师,“网站安全”这个词似乎离生活有些遥远,平日里很多人开启计算机最多就是登录网站、浏览网站,至于网站安不安全,却从未关注过。近些年来,网络安全相关话题已经引起了社会的广泛关注,还记得去年暑期大火的偶像连续剧《亲爱的热爱的》讲述了男主希望为中国拿下CTF大赛冠军的梦想之路,CTF在网络安全领域中指的是网络安全技术人员之间进行技术比拼的一种比赛形式,当然,这部剧的成功之处更在于让许多年轻人对网络安全领域产生了兴趣,笔就是其中一员。本文旨在从一名网络安全工程师的角度,用更加通俗易懂的话语,介绍网站安全的相关知识。
165 0
网站安全该如何做?怎么样才能防止被攻击
|
安全 前端开发 网络安全
当网站被篡改 该如何加强网站的安全防护
企业网站遭受到攻击,首页文件被篡改,在百度的快照也被劫持跳转到其他网站上,企业网站首先要做的就是网站的安全防护,然而很多企业并不懂的构建网站安全防护,在安全方面需要找专业的网站安全公司来进行网站的防护。今天我们SINE安全跟大家聊聊,该如何去做网站的安全防护。
201 0
当网站被篡改 该如何加强网站的安全防护