从团购网的漏洞看网站安全性问题

再点击确认订单，恩？怎么alert这么一句“本活动只限VIP会员参与”？我第一反应是去看页面源代码(由于该活动已经结束，

进不去购买页面了，所以在这里我只好用伪代码来表示):

//确认订单按钮的点击事件
function btn_click(){
ajax获取当前用户的类型
如果不是VIP，alert("本活动仅限VIP会员参与");
否则 form1.submit();
}

然后我在地址栏敲入：javascript:form1.submit(); 回车！ 进入付款页面了，再点击确定，恩？购买成功！我获得了5元红包！

太给力了！！！我又新注册一个账号，重复上面的步骤，也成功获得了5元红包。

马上给客服留言说明此BUG，不过到今天还没回复我，呵呵。

这个漏洞的关键点是开发人员忘记了在form1.submit()的后台代码中判断当前用户是否VIP会员，只依赖于javascript的验证。

前台的验证顶啥用啊，完全可以绕过去，后台的验证才最重要！！

有了上午的收获，1号晚上我就继续找别的团购网的漏洞，果然被我找到一个更严重的。

该团购网也举行了一个元旦抽奖砸金蛋活动，也是免费参与，购买后发现得邀请好友参与活动才有砸金蛋的机会，邀请一个好友就多一

个机会，如图：

我一点击金蛋就alert一句“没有抽奖机会了快去邀请好友吧！”，恩，又是javascript？看看代码先：

这便是金蛋的点击事件，其中有一个用AJAX去访问的页面lottery1.php，而要传过去的chance变量应该就是当前用户拥有的砸蛋机会。

我试着直接访问lottery1.php?chance=1，返回error字符串，lottery1.php?chance=0也返回error,lottery1.php?chance=-1，也

返回error，难道没效果么？我刷新了一下砸金蛋的页面，哇！！

我传了-1过去导致溢出了？我试着砸了几个，每次都成功获得代金卷！！太给力了。接着试着用代金卷去下单，也能成功减免掉几块钱，

不过一张订单只能用一个代金卷，呵呵（当然测试用的订单我最后取消掉了，本人还没那么邪恶，哇咔咔）

马上联系客服，居然下班了，QQ不在线，电话打不通，只好留了个言。

接下来干嘛呢？砸蛋呗！42亿的金蛋呢，写了段JS自动砸！截止现在一共有3588个金蛋被砸开，其中至少有2000多个是我砸的，哇咔咔

得到了一大堆的代金卷：

整整185页，呵呵，蛮壮观的！！！

到了2号，我重新查看该团购网的代码时，发现了一个更严重的问题：

JS中有这么个方法

乍一看是跟钱有关的吧，传入用户ID和钱的数目，试试有什么效果。

用户ID怎么获得呢？别急，页面上有：

这个96204就是我当前帐户的ID了，访问了一下，返回“线下充值成功”，哇，这么给力？充值页面都不加权限验证的？

查看了一下帐户余额，果然充值成功了：