WooYun.org

1.首先是先注册一个戴尔的账号。
2.选择你看中的外星人。
3.然后加入购物车
4.支付（别选择用信用卡）
5.提交订单
6.这时抓包，然后找到paymanttype和hdexpress参数，把false改成true.
这个时候订单已经提交到服务器了，不管你有没有支付，你的订单在对方的服务器里都是已经支付成功的。什么？你问我为什么？因为我昨天晚上才测试，今天DELL的销售人员就打电话给我确认信息，说是准备发货了，问我地址填写是否正确。
吓得我赶紧说是测试漏洞。。。。。

为什么我要说是漏洞成功了。

如果说没有支付，那么我的订单是不会进入系统的。当时那个销售代表反复和我说已经支付成功了......我那个无奈啊，解释半天也解释不清。行，那么我发乌云吧。
于是今晚又测试一次，明天又会有电话打进来了。。。。。。
同时后面还发现，只要点击登录支付宝，抓包更改fee参数，改为多少都行，然后支付页面会提示失败，这时再点击刷新，POST数据里面会包含用户的E-mail地址。