漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-066100
漏洞标题：7788商城支付漏洞可任改订单金额
相关厂商：7788商城
漏洞作者： hawkeye
提交时间：2014-06-27 10:13
修复时间：2014-08-11 10:14
公开时间：2014-08-11 10:14
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：18
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
虽然是卖二手的 但是 不要钱 还是很不错的
详细说明：
测试了下 修改邮费那可以进行-负值
拿出 拿出微软大牛写的神器
然后 成功提交 生成了订单
付款试试？
![QP{%KV{$3TD]M]P0LAPKKP0.jpg](http://wimg.zone.ci/upload/201406/24190705d1761fc56195bba29c16a89437198923.jpg)
然后 不搞了 只是友情检测下！
请速度修护吧 可不能让非法分子有机可乘！ 想想 假如一个人 开在申请开个网店 然后就可以一直刷钱 提款 神马
最后望乌云能够给个邀请码 能够更好的交流 与学习 为打造一个宁静安全的网络，出自己一份微薄之力 并祝愿wooyun越来越好
漏洞证明：
测试了下 修改邮费那可以进行-负值
拿出 拿出微软大牛写的神器
然后 成功提交 生成了订单
付款试试？
然后 不搞了 只是友情检测下！
请速度修护吧 可不能让非法分子有机可乘！ 想想 假如一个人 开在申请开个网店 然后就可以一直刷钱 提款 神马
最后望乌云能够给个邀请码 能够更好的交流 与学习 为打造一个宁静安全的网络，出自己一份微薄之力 并祝愿wooyun越来越好
修复方案：
加个签名验证 或者神马的 方法很多
版权声明：转载请注明来源 hawkeye@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝