扫码领取网安教程
大部分开发人员在开发时都会有一种思维惯性，传参处处有校验==处处都可信，但这个等式并非恒成立
前言
这个漏洞是在工作中例行渗透测试的时候发现的，虽然前端做了防篡改措施，但这是很经典的没有后端校验导致的任意价格支付。 漏洞已在内部提交并确认修复。
漏洞描述
兑换积分商品时数据包会携带extendKey ，在分析js代码时发现，其值是商品id、数量、商品价格、可用积分这几项的拼接值，再进行加密得到的。本意是使用extendKey实现数据包关键内容二次校验防篡改，但extendKey的加解密方式以及key均写在js代码中，这就使得extendKey的篡改变得可行。在兑换积分商品时经解密发现其值会携带商品价格信息，篡改后实现任意使用任意积分对商品的兑换。
漏洞分析利用
0x01 加解密说明
在js代码中找到extendKey的加密方式，可以看到用的是aes-128-ecb加密，密钥n也明文写在js代码中。 加密流程：先aes-128-ecb再base64编码。 解密流程：先base64解码再aes-128-ecb解密 对extendKey的值做解密验证 解密发现,原始字符串是将商品id和数量使用“|”做了拼接
0x02 利用过程
账户中原始可用的积分 选择一个所需积分大于账户已有积分的商品，点击立即购买，拦截响应数据包 解密extendKey发现是 两个商品id+数量+商品积分价格 的组合字符串 修改字符串中最后一个值及价格为10，并重新生成extendKey 接着修改返回包中tradePointAmount的值为10，并填入篡改后的extendKey值 然后释放响应包前端出现提交订单页面,虽然前端显示的还是29900的价格，这是因为控制前端显示价格值的不是tradePointAmount这个键值 点击提交订单可以看到交易价格已经是10积分，从后续的响应包也可以确认这一点 紧接着释放响应包，确认前端10积分的订单已经生成成功等待支付 最后支付订单
分析总结
这个漏洞就是经典的未对金额进行正确的后端校验，先从开发者的视角分析一下开发者的思路：
点击立即购买，请求带上商品id以及数量，向后端获得价格等信息。
后端服务查询得到商品价格，返回前端，前端接收并校验为提交订单做准备。
提交订单，前端传递“可靠”的价格值去请求订单处理服务，生成了支付订单。
第1步，前端认为应该先向后端询问商品价格，第2步完成时前端开发者视角下认为金额是后端传递给前端的且对金额数量等值做了加密，只要前端进行解密、校验，便认为是“可靠”的，到第3步向支付系统请求生成订单时，后端支付系统开发在对接时得知有个extendKey值可以做校验，也就放心的进行了价格校验。虽然也对价格等关键参数值做了加密、校验，但忽略了AES是对称加密，而js也未作混淆之类的处理，算法密钥以明文的形式暴露给攻击者，篡改extendKey轻而易举。问题就出在支付订单生成服务未在订单生成前在后端向商品价格的数据库查询做二次校验，而只是校验了前端传的值。开发时觉得，传参处处有校验==处处都可信，这是一个思维惯性，但必须要注意避免。
ps:
至于为什么要在第2步就修改金额，是因为前端有个账户积分和商品价格比较的机制，积分不足不会有下一步订单提交生成，如果商品原本价格就低于已有积分，那么直接从第3步修改金额就可以
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
网络安全学习资源分享:
给大家分享我自己学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有帮助！
零基础入门
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
【点击免费领取】CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》
1.学习路线图
攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。【点击领取视频教程】
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取技术文档】
（都打包成一块的了，不能一一展开，总共300多集）
3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取书籍】
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。
最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
👋全套《黑客&网络安全入门&进阶学习资源包》👇👇👇
这份完整版的学习资料已经上传CSDN，也可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】