【漏洞学习——支付漏洞】酷我音乐会员0.01元购买成功存在支付逻辑漏洞

最新推荐文章于 2025-10-01 18:32:04 发布
原创 最新推荐文章于 2025-10-01 18:32:04 发布 · 4.6k 阅读 · 10 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文揭示了酷我音乐会员购买界面的一个漏洞，通过修改数据包的付费金额为0.01元，可以成功绕过正常支付流程，实现几乎免费的会员购买。这一操作涉及对支付请求的数据篡改。

漏洞细节

1、找到酷我会员购买界面，使用微信支付方式

2、正常情况下需要通过扫描微信的支付验证码，支付10元购买一个月会员

3、0元购买时通过修改数据包的付费金额为0.01元，然后扫描微信支付成功后就可以成功成为会员了

修改为0.01元

继续操作

支付请求变为0.01元了

扫一下支付成功后重新登录查看

参见：https://bugs.shuimugan.com/bug/view?bug_no=174799

支付逻辑漏洞
记录并分享学习安全的知识点..
04-23 3862
警告 请勿使用本文提到的内容违反法律。 本文不提供任何担保 一、漏洞分类 （一）支付过程中可直接修改数据包中的支付金额 这种漏洞应该是支付漏洞中最常见的，主要针对支付宝等需要第三方支付的案例。开发人员往往会为了方便，直接在支付的关键步骤数据包中直接传递需要支付的金额。而这种金额后端没有做校验，传递过程中也没有做签名，导致可以随意篡改金额提交。只需要在支付过程中用抓包工具抓包发现有金额的参数修改成任意即可。 （二）没有对购买数量进行限制 这种漏洞应该是支...
乌云逻辑漏洞分析
gankjk的博客
11-14 731
酷我音乐会员0.01元购买成功存在支付逻辑漏洞 在充值酷我音乐会员时，本来时10元一个月的，但是可以通过抓包获取其数据包，通过改变其数据包的内容达到修改金额的目的 下面是当时漏洞的截图 其实这类的支付漏洞有很多，就是攻击者通过修改交易金额，交易数量等利用漏洞，如用burp修改金额，数量为负数或者无穷大。 12306账户安全逻辑错误导致可能会被永久盗号无法找回 12306开通手机核验之后，手机号码允许作为帐号登录。手机号码重新核验的时候，可以修改号码，但无需原号码校验。这可能导致未经许可的直接修改手机号码。在
支付 漏洞
最新发布
weixin_74737710的博客
10-01 398
优惠劵其基本都是优惠，一般用优惠劵进行消费一般出现在第二个步骤当中：确认购买信息，在这个步骤页面当中，你可以选择相关优惠劵，然后直接修改金额大于或等于商品的价格就可以，或者直接修改其为负值进行尝试，最后进行支付，如果对这点没有加以验证，那么问题就会产生，直接支付成功。支付——订购、订单、付款 三个步骤当中的随便一个步骤进行修改价格测试，如果前面两步有验证机制，那么你可在最后一步付款时进行抓包尝试修改金额，如果没有在最后一步做好检验，那么问题就会存在，其修改的金额值你可以尝试小数目或者尝试负数。
逻辑漏洞之支付漏洞
Fly_鹏程万里
06-01 6286
支付漏洞乌云案例之顺丰宝业务逻辑漏洞案例说明顺丰宝存在支付逻辑漏洞，可以允许用户1元变1亿元。这个漏洞在其他网站很难存在，原因是页面交互都使用了对字段做签名。但是顺丰宝没做签名，导致支付金额可以被修改为任意数值。猜测成因是开发人员为了快速实现功能，而忽略了其中数据签名的步骤。可以想象，如果我充值1个亿，然后再使用取款功能，会产生神马效果。利用过程1 登录顺风宝查看余额2 充值，选择招商银行。填写充...
web&支付逻辑漏洞
weixin_54882883的博客
07-09 791
1、商品购买-数量&价格&编号等2、支付模式-状态&接口&负数等3、折扣处理-优惠券&积分&重放等1、熟悉常见支付流程2、熟悉那些数据篡改3、熟悉那些修改方式我注册了一个cs账户演示一下支付漏洞我们随便点开一个产品抓取购买的数据包 我们对比一下数据包我们可以用肉眼捕抓一些关键的字眼对比我们前面上面的截图6000是价格1是数量好那么我们是否可以更改他的价格呢可以尝试一下把价格改成0然后把数据包放了就达到了更改价格我们通过购买这个产品的价格来购买上面5400价格的产品对比漏洞数据包6000 4000 我们只需要
逻辑漏洞：支付逻辑漏洞
qq_68163788的博客
05-03 2750
支付逻辑漏洞是指在支付系统中存在的一系列问题，包括但不限于重复支付、金额篡改、未经授权的退款、支付验证不严格和支付信息泄露等。这些漏洞可能导致用户遭受经济损失，面临欺诈风险，以及可能暴露个人隐私信息。因此，支付系统的安全性和稳定性对于用户和商家来说至关重要。
酷我音乐移动端Web网页设计
06-05
在本资源中，我们主要探讨的是“酷我音乐移动端Web网页设计”，这涉及到网页开发中的关键技术，包括...通过学习这个资源，开发者可以提升自己在移动端网页设计上的技能，更好地创造出适应多设备环境的音乐播放体验。
精选资源
酷我音乐-电脑版.zip
12-27
其次，电脑版酷我音乐具备强大的音乐库，囊括了国内外众多歌手的音乐作品，包括流行音乐、古典音乐、爵士乐、轻音乐等多种类型，满足不同用户的音乐品味。软件还提供最新音乐排行、新歌推荐、个性化歌单等功能，使...
精选资源
酷音乐win系列都能用，全网下载、在线听歌无限制
12-20
其次，为了保障音乐资源的丰富性，酷我音乐与多家音乐公司和版权方建立了合作关系，覆盖了包括流行音乐、古典音乐、民族音乐、爵士乐在内的多种风格和语言的曲目，确保用户能够享受到多样化的音乐体验。 除了提供...
【js逆向学习】酷我音乐排行榜 python+nodejs（webpack）
学海无涯
09-24 979
webpack
价值200元的 PHP仿A8音乐分享网站源码 在线音乐播放平台 带会员功能
04-14
PHP仿A8音乐分享网站源码 带会员功能，适合做类似于音悦台、酷我等在线音乐播放平台。源码使用php+MySQL，程序开源，有编码经验的可以进行二次开发扩展，维护起来也很方便。 此套源码带会员功能，可以上传分享自己...
挖洞技巧：支付漏洞之总结（转载）
Allan_shore_ma的博客
02-11 3014
挖洞技巧：支付漏洞之总结 Web安全 作者： 剑影 ...
支付漏洞
weixin_45634365的博客
03-30 1317
一、快捷支付原理 商户网站接入支付结果有两种方式，一种是通过浏览器进行跳转通知，一种是服务器端异步通知 浏览器跳转： 基于用户访问的浏览器，如果用户在银行页面支付成功后，直接关闭了页面，并未等待银行跳转到支付结果页面，那么商户网站就收不到支付结果的通知，导致支付结果难以处理。而且浏览器端数据很容易被篡改而降低安全性 服务器端异步通知： 该方式是支付公司服务器后台，直接向用户指定的异步通知URL发送参数，采用POST或GET方式。商户网站接收异部参数的URL对应的程序中，要对支付公司返回的支付结果进行签名验证
【支付漏洞】
weixin_52351575的博客
11-11 751
2、 在抓取购买包时，无法进行价格数量等参数修改。但我们抓取加入购物车包时，发现有相关url编码，进行解密发现数量等传参，将count数值改为-1，发现还是被防护，这里就猜测，价格不能小于和大于0（大于0无法支付），只能使两件物品相等。2、 点击商品购买，发现数量可以填写负数，尝试购买。3、 购买后发现余额剩下92000元，获得flag。8、多线程一起工作，条件竞争（先打钱后扣钱）。1、 修改价格传参（抓包修改代表价格的传参）7、 跳过支付环节（浏览器跳转，比较难遇见）3、 修改商品（订单）数量。
挖洞思路——支付逻辑漏洞
吃肉唐僧的博客
08-22 1683
支付逻辑漏洞 定义：支付逻辑漏洞是指系统的支付流程中存在业务逻辑层面的漏洞。 支付逻辑漏洞一般分为四类： 1.支付过程中可以修改支付金额 2.可以将订单中的商品数量修改为负值 3.请求重放 4.其他问题（程序异常，其他参数修改导致问题等） 测试方法 工具burpsite ...
浅谈漏洞思路分享-逻辑漏洞（支付系统篇）
qq_52612931的博客
04-07 1213
渗透测试项目中网站哪里可能存在逻辑漏洞呢？ 这里总结了三大类关于登录页面、会员系统、支付系统可能出现的逻辑漏洞情况，参考之前hackctf公众号里总结的逻辑漏洞位置一张图提供思路，内容比较多所以分开来写，同时参考网上文章及个人案例进行了总结补充，希望大家多多关注。
交易支付逻辑漏洞小总结
m0_57836225的博客
10-19 1209
在电子商务和各种交易系统中，交易支付逻辑的安全性至关重要。一旦出现漏洞，可能会导致企业遭受经济损失，如价格被篡改，用户以不合理的价格购买商品或服务。本文将详细介绍交易支付逻辑漏洞的相关知识，包括其严重性、呈现形式、常见类型、测试方法以及修复方案，并通过 Java 代码示例进行说明。
JMF实现的Java音乐播放器，功能仿酷我音乐盒
仿酷我音乐盒意味着这款JMF音乐播放器在用户界面和用户体验上借鉴了酷我音乐盒的设计，但具体功能和实现细节可能有所差异。 标签：“JMF Java音乐播放器 仿酷我” 标签中简要概括了这款播放器的主要特性： - JMF...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值