干货 | 挖逻辑漏洞整理合集

于 2025-03-31 20:02:09 发布
阅读量808 收藏 20
点赞数 17
文章标签： 网络 前端 数据库 oracle
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/A_991128a/article/details/146882569
版权

干货 | 挖逻辑漏洞整理合集

0x01 未授权

未授权问题为普通用户登录或没有登录后，拼接js接口，构造报文，越权实现管理员的权限操作。原因：后端没有校验Cookie/Session的身份信息，以至于普通用户的权限可以实现管理员权限的功能。

First

webpack打包会泄露很多js接口，本人在这里演示一下Vue3+Webpack接口泄露的创建过程
使用Vue3-cli创建项目

图片

修改两个文件，一个是router目录下的index.js，一个是views目录下的ming.vue

图片

npm run build打包webpack生成dist文件夹，将这个文件夹中所有内容放在宝塔面板上展现

图片

修改网站配置文件Vue Router进行路由管理，需要配置服务器以处理单页应用的路由，这意味着无论用户在浏览器中输入什么路径，都应该返回index.html文件

图片

浏览器打开url查看js文件就可以发现泄露的js接口

图片

拼接接口就可以查看内容

图片

Second

使用普通用户权限登录

图片

查看这个网站目录下的js文件

图片

拼接js接口

图片

Third

同样使用普通用户权限登录找js接口

图片

拼接js进入后台

图片

0x02 越权

越权也属于未授权的一种，因为漏洞出现的次数比较多，所以我单独写了出来。
水平越权：一个用户可以查看其他用户的信息，比如一个招聘网站，每个人可以查看自己的信息，例如身份证号、姓名、头像等，但是一个用户能查看其它用户的信息，这就属于水平越权，同样修改其他人信息，删除也为水平越权。

First

水平越权查看其它用户的信息
一个招聘系统

图片

图片

burp拦截报文

图片

是不是对12354有点感觉呀，burp重发包测试一下12352

图片

12353

图片

水平越权也有sql注入的可能，详情可看上篇文章

Second

越权修改其他用户的信息
系统上我注册了两个账号，一个为ming4，一个为ming5
登录ming5账户，修改信息点击保存

图片

burp拦截报文

图片

修改id为2177(ming4用户的id)

图片

刷新ming4用户的信息，信息修改，密码也修改了
后续碎碎念：其实这里怀疑是update sql语句，当时比较菜，没有测试，如果现在这个站点还能让我测试的话，我会测试
2177 and sleep(‘5’) 这种看看会不会产生延时注入

Third

OA系统越权登录，这里的逻辑为使用学生的学号登录统一认证，统一认证有跳转OA系统的链接点，学生用户是进入不了OA系统的，但是老师的工号可以进入
统一认证界面点击OA系统的链接，burp拦截报文

图片

ticket修改为老师的工号，进入OA系统

图片

0x03 Cookie

后端开发人员编写代码使得服务器使用cookie识别用户信息

First

修改cookie中的内容就可以直接为管理员权限
登录之后，web系统回复了以下内容，cookie中cookieusername以及cookieid，我们可以修改为cookieusername=admin以及cookieid=1

图片

Second

cookie修改信息触发水平越权

图片

修改cookie中userid内容产生越权

图片

0x04 任意密码重置

网站使用手机发验证码修改密码，但验证码的作用仅为展示前端界面，没有与后端的校验交互

First

一个系统重置密码框

图片

输入手机号输入验证码发送报文

图片

修改status值为1

图片

图片

输入密码点击下一步

图片

绕过
漏洞修复后的判定方式为在输入密码点击下一步的发送报文中携带验证码信息

Second

还是一个重置密码的地方，随便写入验证码点击下一步

图片

回显报文情况

图片

这里改为True呗
再点击一下

图片

图片

返回为True，成功重置

图片

末尾

逻辑漏洞覆盖面很广，并发问题，支付漏洞在本文中均没有提及。

**声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

SRC之逻辑漏洞挖掘
安全脑
06-19 2399
挖掘逻辑漏洞一般方法： 1. 发现网站所提供的功能模块； 2. 针对具体的功能确定业务流程； 3. 拦截HTTP/HTTPS请求，分析其参数的含义； 4. 修改参数值，尝试出发逻辑漏洞； 5. 返回第2步骤，对其他功能继续测试。 越权漏洞 越权漏洞可能存在的地方：增、删、改、查、详情、导出等功能点。 根据不同的维度可分为：水平越权（也称平行越权）、垂直越权和交叉越权。 水平越权：权限类型不变，权限ID改变（同一角色不同用户）。出现在同一个角色上，系统只验证了能访问数据的角色而没有对角色内的
纯干货：微软漏洞中国第一人黄正——如何用正确姿势挖掘浏览器漏洞（附完整 PPT）
雷锋网
12-26 6148
导语：黄正，百度安全实验室 X-Team 掌门人。他在这里分享了诸多漏洞挖掘的干货，目标成为大神黑客的你不能错过。 浏览器就像一扇窗，通过这扇窗，黑客可以攻入电脑的心脏。 就像情场高手，通过眼睛，融化一个人的心灵。 黄正，百度安全实验室 X-Team 掌门人。2016年，这个信仰“技术可以改变世界”的低调黑客大牛以一己之力挖掘无数浏览器漏洞，创下了排名微软
逻辑漏洞合集
黑战士的博客
08-17 212
水平越权：一个用户可以查看其他用户的信息，比如一个招聘网站，每个人可以查看自己的信息，例如身份证号、姓名、头像等，但是一个用户能查看其它用户的信息，这就属于水平越权，同样修改其他人信息，删除也为水平越权。逻辑漏洞覆盖面很广，并发问题，支付漏洞在本文中均没有提及，一是并发问题没有特别大的危害，只有企业SRC才会收录，二是支付漏洞本人太菜，没有挖到过！OA系统越权登录，这里的逻辑为使用学生的学号登录统一认证，统一认证有跳转OA系统的链接点，学生用户是进入不了OA系统的，但是老师的工号可以进入。
逻辑漏洞合集总结
m0_49577923的博客
10-27 3376
前言 什么是逻辑漏洞？逻辑漏洞是人编写程序时由于对某方面功能疏忽或者考虑不周全造成的漏洞，所以说逻辑漏洞利用的场景千奇百怪，逻辑漏洞利用的方法也要要结合具体场景来谈，下面我来举例一些常见的逻辑漏洞类型。 一、密码重置漏洞 1. 验证码爆破 某些网站发送手机验证码是四位数的验证码，这时我们可以使用字典爆破。 2. 验证码抓取 验证码由客户端生成的，我们可以利用抓包工具，在发送验证码的时候抓取验证码。 3.验证码不更新 获取验证码后，验证码不刷新且后端程序对验证码不校验，导致用A手机号成功重置密
漏洞挖掘 SRC刷分之一招上榜！
jennycisp的博客
05-25 1184
漏洞挖掘是指通过分析软件、系统或网络中存在的安全漏洞来发现并利用这些漏洞。漏洞挖掘是信息安全领域的一项重要工作，可以帮助企业和组织提高系统的安全性，避免黑客攻击和数据泄露。漏洞挖掘的流程一般可以概括为以下几个步骤：确定目标：确定要挖掘的软件或系统。这可能是一个应用程序、操作系统、网络设备或其他系统。收集信息：收集有关目标的信息，包括架构、协议、版本和配置等。这些信息可以通过互联网搜索、手动扫描、自动化工具和其他途径获得。分析漏洞：通过手动和自动化技术进行漏洞分析，识别潜在的漏洞类型和攻击面。
常见逻辑漏洞复现合集（下）
Y_main的博客
06-18 903
测试漏洞：越权访问漏洞（Insecure Direct Object References，IDOR）指的是应用程序在验证用户对资源或功能的访问权限时出现的漏洞。具体来说，这种漏洞允许攻击者直接访问应用程序中的对象（例如文件、数据库记录、URL等），而无需经过适当的身份验证或授权检查。越权漏洞一般又分为垂直越权漏洞和水平越权漏洞。本文中的漏洞为水平越权漏洞。水平越权是指攻击者通过利用系统或应用程序中的逻辑错误，以获取其他用户相同权限级别下的资源或执行操作的漏洞。
【参考】前端面试攻略（自整理）
mus-z的博客
04-05 1394
该博主看起来挺厉害的百度携程滴滴头条360的offer都有， 我马上也要人生第一次前端实习面试了是美团的所以刷题看看人家的面经~ 链接：https://m.sohu.com/a/236608417_690895 这个各方面都有吧能找到答案的我一般都做了传送门 文章目录一、算法部分1、基本排序的方式2、二分查找。3.二叉树便利（前序中序后序）4.尽量刷牛客和剑指offer二、计算机网络部分1.最...
【南卡樱桃|读书笔记《学习高手》】
weixin_44698581的博客
04-21 1万+
∝学霸分享 6大课 通过英语、写作和SMART原则、OKR工作法、LEO解读五步法等文章。同样适用于国内教育环境。 ∝3 学霸分享，直通世界名校的超级学习法 ∞第18课 LEO手把手教你如何学好英语 ◆第1小课 单词 ◆第2小课 语法 ◆第3小课 听力 ◆第4小课 阅读 ◆第5小课 口语 LEO的学习仪式感 我在不同英语学习阶段使用的教材 ∞第19课 三要素写作法，把文章写到读者心里去 ◆第1小课 Ethos，可信 ◆第2小课 Pathos，情感 ◆第3小课 Logos，逻辑 ◆19-本课核心方法回顾 ∞第
20考研 | 2020考研全程规划，19上岸复旦学长。各科各阶段复习规划。
热门推荐
FENG_LIN的博客
05-27 2万+
下面我在分享一下我之前写过的 一篇文章 高能干货预警文章目前30142字，这可能是最负责的一篇文章了。文章很长，建议拿好笔记慢慢看。 本文会解决你在考研各科在不同时期不同阶段遇到的所有问题，方法具体到草稿纸怎么使用，课本具体怎么使用，相信我，读完你一定会有巨大收获。我总结了我一年以来遇到的所有问题，使用的所有方法。 既然最终目的是在考研这场「考试」中获得高分，那么所有的时间和精力，都应该围绕...
2020 HackerOne黑客报告：白帽收入最高竟是普通程序员的40倍
01-06 3755
HackerOne 平台发布年报，内容主要包括：黑客从哪里来？为何挖漏洞？最喜欢的黑客目标和工具是什么？从哪里学习？为何要和他人协作等等。另外，还公布了首位获得百万赏金的黑客年仅19岁且自学成才。 报告数据来自 HackerOne 调查数据以及2018年12月以及2019年1月的 Harris 调查数据，后者的数据来自100多个国家和地区超过3667名黑客。HackerOne 平台数据来自成功地在该平台上报告过一个及以上有效漏洞的黑客，以及该平台基于1200多个漏洞奖励计划和漏洞披露计划的专有数据。主
国内SRC漏洞挖掘技巧与经验分享
02-01
国内SRC漏洞挖掘技巧与经验分享 包括：信息收集、字典生成、业务安全、APP测试等内容
常见逻辑漏洞总结
weixin_44477223的博客
10-19 9607
常见逻辑漏洞 简介 逻辑漏洞是指由于程序逻辑不严导致一些逻辑分支处理错误造成的漏洞。 在实际开发中，因为开发者水平不一没有安全意识，而且业务发展迅速内部测试没有及时到位，所以常常会出现类似的漏洞。 1.交易逻辑漏洞 ...
【SRC挖掘实录】逻辑漏洞篇
dbabs的博客
05-24 835
常见的OWASP漏洞，通过漏洞扫描工具，大多支持自动化或者半自动化扫描出来，并且传统的安全设备或者防护措施收效甚微。但逻辑漏洞是和系统自身功能和逻辑有关系的漏洞，每一家的漏洞出现可能存在一定的独特性，很难复制或者通过规则脚本和漏扫工具扫描出来，因此逻辑漏洞大多需要配合代码审计和手段测试才可以发现相关漏洞，也是工具无法代替人工的漏洞。这三个漏洞通常都出现在用户登录界面，是由于开发者未对用户进行严格的身份鉴权和验证导致的漏洞。
src逻辑漏洞挖掘经验分享
dust_hk的博客
05-07 1万+
文章转自公众号：物联网IOT安全 1.资产收集 1.1业务范围 巧用搜索引擎首推谷歌查看了解src旗下涉及到的业务，收集其对应的业务下的域名，在进一步进行挖掘，比如： 整理后，在进行常规资产收集。 1.2常规性质资产收集 基本的资产收集方式：子域名枚举、端口扫描、路径扫描、旁站c段查询 子域名 子域名爆破： sublist3r、subdomainsBurte、DiscoverSubdomai...
SRC实战 | 逻辑漏洞-前端验证绕过，从零基础到精通，收藏这篇就够了！
最新发布
yy1715713348的博客
02-20 692
免责声明。
SRC逻辑漏洞挖掘详解以及思路和技巧（非常详细）零基础入门到精通，收藏这一篇就够了
Python_paipai的博客
07-17 1990
由于程序逻辑不严谨或逻辑太过复杂，导致一些逻辑分支不能正常处理或处理错误，统称为业务逻辑漏洞。常见的逻辑漏洞有交易支付、密码修改、密码找回、越权修改、越权查询、突破限制等，下图是简单的逻辑漏洞总结，在挖掘的过程中更多的时候需要脑洞大开：挖掘逻辑漏洞的过程中，需要一些技巧和非常规思路，有点像边缘测试的思想。确定业务流程--->寻找流程中可以被操控的环节--->分析可被操控环节中可能产生的逻辑问题--->尝试修改参数触发逻辑问题0X01 逻辑漏洞分类。
对SRC逻辑漏洞挖掘的思考
大河之犬的博客
05-15 513
多阶段功能是一个功能有多个阶段的实现。当验证成功后，跳到第二步，输入新密码，很多程序会在这一步不再验证用户身份，导致恶意攻击者抓包直接修改参数值，导致可修改任意用户密码。很多网站的下载功能，一些被下载的静态文件，例如 pdf、word、xls 等，可能只有付费用户或会员可下载，但当这些文件的 URL 地址泄露后，导致任何人可下载，如果知道 URL 命名规则，则会便利服务器的收费文档进行批量下载。像这里， 响应包没有出现任何可校验的信息，比如token，sign之类的， 百分之90存在重置任意用户的漏洞。
逻辑漏洞小结之SRC篇
2301_77152761的博客
05-12 396
​ 未对原绑定手机号、验证码、用户未统一验证，或验证码未绑定 只验证验证码正确，没判断用户id 或手机号，修改想改的id 正确手机验证码即可。邮箱轰炸，短信轰炸，burp Repeate，短信轰炸验证码有60秒限制时，有的参数修改后可绕过 如。{“code”:1,”data”:”目标用户手机号”,”msg”:”绑定成功Ÿ”}撞库，登陆时无验证码且可无限被尝试，用户名验证时有无用户名错误回显、密码可被爆破。无验证码，验证码不刷新，验证码4位过于简单无尝试次数限制可被爆破、
干货 | spark streaming 和 flink 详细对比
06-28
### 回答1： Spark Streaming 和 Flink 都是流处理框架，但在一些方面有所不同。 1. 数据处理模型 Spark Streaming 基于批处理模型，将流数据分成一批批进行处理。而 Flink 则是基于流处理模型，可以实时处理数据流。 2. 窗口处理 Spark Streaming 的窗口处理是基于时间的，即将一段时间内的数据作为一个窗口进行处理。而 Flink 的窗口处理可以基于时间和数据量，可以更加灵活地进行窗口处理。 3. 状态管理 Spark Streaming 的状态管理是基于 RDD 的，需要将状态存储在内存中。而 Flink 的状态管理是基于内存和磁盘的，可以更加灵活地管理状态。 4. 容错性 Flink 的容错性比 Spark Streaming 更加强大，可以在节点故障时快速恢复，而 Spark Streaming 则需要重新计算整个批次的数据。 总的来说，Flink 在流处理方面更加强大和灵活，而 Spark Streaming 则更适合批处理和数据仓库等场景。 ### 回答2： Spark Streaming 和 Flink 都是流处理框架，它们都支持低延迟的流处理和高吞吐量的批处理。但是，它们在处理数据流的方式和性能上有许多不同之处。下面是它们的详细比较： 1. 处理模型 Spark Streaming 采用离散化流处理模型（DPM），将长周期的数据流划分为离散化的小批量，每个批次的数据被存储在 RDD 中进行处理，因此 Spark Streaming 具有较好的容错性和可靠性。而 Flink 采用连续流处理模型（CPM），能够在其流处理过程中进行事件时间处理和状态管理，因此 Flink 更适合处理需要精确时间戳和状态管理的应用场景。 2. 数据延迟 Spark Streaming 在处理数据流时会有一定的延迟，主要是由于对数据进行缓存和离散化处理的原因。而 Flink 的数据延迟比 Spark Streaming 更低，因为 Flink 的数据处理和计算过程是实时进行的，不需要缓存和离散化处理。 3. 机器资源和负载均衡 Spark Streaming 采用了 Spark 的机器资源调度和负载均衡机制，它们之间具有相同的容错和资源管理特性。而 Flink 使用 Yarn 和 Mesos 等分布式计算框架进行机器资源调度和负载均衡，因此 Flink 在大规模集群上的性能表现更好。 4. 数据窗口处理 Spark Streaming 提供了滑动、翻转和窗口操作等灵活的数据窗口处理功能，可以使用户更好地控制数据处理的逻辑。而 Flink 也提供了滚动窗口和滑动窗口处理功能，但相对于 Spark Streaming 更加灵活，可以在事件时间和处理时间上进行窗口处理，并且支持增量聚合和全量聚合两种方式。 5. 集成生态系统 Spark Streaming 作为 Apache Spark 的一部分，可以充分利用 Spark 的分布式计算和批处理生态系统，并且支持许多不同类型的数据源，包括Kafka、Flume和HDFS等。而 Flink 提供了完整的流处理生态系统，包括流SQL查询、流机器学习和流图形处理等功能，能够灵活地适应不同的业务场景。 总之，Spark Streaming 和 Flink 都是出色的流处理框架，在不同的场景下都能够发挥出很好的性能。选择哪种框架取决于实际需求和业务场景。 ### 回答3： Spark Streaming和Flink都是流处理引擎，但它们的设计和实现方式有所不同。在下面的对比中，我们将比较这两种流处理引擎的主要特点和差异。 1. 处理模型 Spark Streaming采用离散流处理模型，即将数据按时间间隔分割成一批一批数据进行处理。这种方式可以使得Spark Streaming具有高吞吐量和低延迟，但也会导致数据处理的粒度比较粗，难以应对大量实时事件的高吞吐量。 相比之下，Flink采用连续流处理模型，即数据的处理是连续的、实时的。与Spark Streaming不同，Flink的流处理引擎能够应对各种不同的实时场景。Flink的实时流处理能力更强，因此在某些特定的场景下，它的性能可能比Spark Streaming更好。 2. 窗口计算 Spark Streaming内置了许多的窗口计算支持，如滑动窗口、滚动窗口，但支持的窗口计算的灵活性较低，只适合于一些简单的窗口计算。而Flink的窗口计算支持非常灵活，可以支持任意窗口大小或滑动跨度。 3. 数据库支持 在处理大数据时，存储和读取数据是非常重要的。Spark Streaming通常使用HDFS作为其数据存储底层的系统。而Flink支持许多不同的数据存储形式，包括HDFS，以及许多其他开源和商业的数据存储，如Kafka、Cassandra和Elasticsearch等。 4. 处理性能 Spark Streaming的性能比Flink慢一些，尤其是在特定的情况下，例如在处理高吞吐量的数据时，在某些情况下可能受制于分批处理的架构。Flink通过其流处理模型和不同的调度器和优化器来支持更高效的实时数据处理。 5. 生态系统 Spark有着庞大的生态系统，具有成熟的ML库、图处理库、SQL框架等等。而Flink的生态系统相对较小，但它正在不断地发展壮大。 6. 规模性 Spark Streaming适用于规模小且不太复杂的项目。而Flink可扩展性更好，适用于更大、更复杂的项目。Flink也可以处理无限制的数据流。 综上所述，Spark Streaming和Flink都是流处理引擎，它们有各自的优缺点。在选择使用哪一个流处理引擎时，需要根据实际业务场景和需求进行选择。如果你的业务场景较为复杂，需要处理海量数据并且需要比较灵活的窗口计算支持，那么Flink可能是更好的选择；如果你只需要简单的流处理和一些通用的窗口计算，Spark Streaming是更为简单的选择。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值