支付安全.md

原文 by do9gy

1.订单金额修改

提交订单时tamper 抓包，修改金额值，对传入参数没有验证，订单提交成功并可以付款。

修改币种

修改优惠券、积分

修改运费

修改商品id

...

2.重放交易

1）直接重放（如果允许重放，那些秒杀抢购活动就会被多次请求下单成功）

2）更换用户重放（CSRF）

3）拒绝服务（多次重放导致服务器响应不过来，某次重放交易金额为初始化的0）

……

3.暴力破解

1）用户密码可被暴力破解

2）短信验证码可被暴力破解

3）身份证后四位可被暴力破解

4）cvv2码可被暴力破解（CVV/CVC在联机交易（刷卡）的时候核对，CVV2/CVC2在非现场交易/手工交易（刷不到卡）时核对。）

5）撞库攻击

……

比如一个站点可以使用手机和短信验证码登录，输入手机号，点击获取验证码后，随便输入一个验证码，点击确认，用 burpsuite 抓包 使用 intruderforce，可以对6位的验证码进行爆破，在服务器ban 掉之前，有一定概率的成功机会，有效时间内的尝试次数/1000000

4.商品数量为负数或者小数

1）负数导致增加余额

2）负数抵消订单金额

3）整形溢出

4）小数四舍五入

……

5.订单遍历

1）订单序号顺序遍历

2）加密方法被猜解

……

6.越权（平行权限）

1）越权修改其他用户密码

2）修改其他用户资料

3）越权读取其他用户站内信

4）越权读取其他用户支付订单

7.短信验证码

1）服务端回显短信验证码明文

2）短信验证码接口ddos

3）绑定手机号可允许篡改

4）任意手机号绑定

……

8.多余的回显

1）输入A信息回显B信息

2）加密信息不统一 1334455xxxx与133xxxx6677

3）（用户名不存在）与（用户名或密码错误）

……