记第一次某大学支付漏洞"

admin 2026-10-20 01:18:54 网络安全文章 来源:ZONE.CI 全球网 0 阅读模式

cover_image

记第一次某大学支付漏洞

zkaq-songzeru
zkaq-songzeru

掌控安全EDU

2026年7月28日 14:41
江西

在小说阅读器读本章

去阅读

本文由掌控安全学院 - songzeru 投稿

来Track安全社区投稿~

千元稿费!还有保底奖励~( https://bbs.zkaq.cn  )****

学完掌控安全的三天训练营第二节课后,心血来潮,想要看看我们学校有没有漏洞,故兴冲冲地打开了学校官网准备寻找

看到这么多功能点实在是摸不着头脑,遂思考在哪里有需要支付的地方。突然想起学校在宿舍区使用校园网需要付费,故打开了校园网自主充值平台

可以看到只能提交 30 的倍数的金额,这里点击提交并打开 burp 抓包

!!!!!!

进行修改试试能不能成功

修改一元成功了

报名的三天训练营还是学到东西了的!

申明:本公众号所分享内容仅用于网络安全技术讨论,切勿用于违法途径,

所有渗透都需获取授权,违者后果自行承担,与本号及作者无关,请谨记守法.

没看够~?欢迎关注!

分享本文到朋友圈,可以凭截图找老师领取

上千教程+工具+交流群+靶场账号哦

分享后扫码加我!

回顾往期内容

网络安全人员必考的几本证书!

文库|内网神器cs4.0使用说明书

重生HW之感谢客服小姐姐带我进入内网遨游

手把手教你CNVD漏洞挖掘 + 资产收集

【精选】SRC快速入门+上分小秘籍+实战指南

代理池工具撰写 | 只有无尽的跳转,没有封禁的IP!

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力


    记第一次某大学支付漏洞" 网络安全文章

    记第一次某大学支付漏洞"

    本文记录了一次对某大学校园网充值系统的支付漏洞挖掘过程。作者通过抓包修改支付金额参数,成功将30元支付改为1元,验证了系统存在参数校验不严的漏洞。文章强调了渗透测试需获得授权,并推广了相关安全培训课程。主要建议是加强服务端参数校验以防止金额篡改。
    我的网站竟然被持续“攻击”了9年" 网络安全文章

    我的网站竟然被持续“攻击”了9年"

    作者在服务器迁移时发现网站被持续9年的异常点赞请求,经排查是搜索引擎爬虫因点赞功能设计为GET请求且无需登录而陷入死循环。修复方法包括关闭匿名点赞权限和重构URL。教训包括遵守HTTP规范、注意爬虫行为、避免技术债和定期审查日志。
    SpringActuator泄露到后台管理" 网络安全文章

    SpringActuator泄露到后台管理"

    本文详细描述了通过SpringActuator泄露发现未授权接口,结合JWT伪造漏洞最终获取管理后台权限的完整攻击链。关键步骤包括利用APIKit插件发现Actuator端点、通过/mappings获取接口信息、构造参数获取敏感数据、以及伪造admin的JWT实现任意账号登录。建议加强Actuator端点访问控制并实施JWT签名验证。
    评论:0   参与:  0