我们来自五湖四海,不为别的,只因有共同的爱好,为中国互联网发展出一分力!

我买网客户端越权可任意取消他人订单

2013年12月21日18:36 阅读: 3183 次

标签: 客户端, 越权, 我买

平行权限问题,订单查看已做控制,但是取消订单未控制。
 
测试客户端是官网下的andorid版v1.3.1,暂无IOS设备。
 
账号A登陆后设置手机代理后捕获如下数据包
 
修改ordered为账号B的订单ordered

账号B订单被取消。
 
如果使用fuzz遍历ordered可造成其他用户订单大量被取消的风险。
修复方案:
移动客户端和web开发不是一伙的?
分享到: 更多
©2019 安全焦点 版权所有.
人才招聘联系我们

澳门永利网址_澳门永利网址大全_澳门永利网址导航