信息安全系列oppo突破购买数量.pdfVIP

绕过购买数量限制

/的商城该商城有些商品是被限制了购买数量的，程序也有进行

检测

可看见官方商铺限制了只能购买两个，我们可以绕过并且配合优惠卷来绕过其逻辑

如图所示:我先是正常创建了两个限制商品A的订单，在创建第三个是出现了下图提醒

说明程序有检测那好我们来查看逻辑并寻找绕过点

绕过限制

购买流程:进去商品-点击购买-提交订单-程序进行创建订单-返回订单创

建成功

经过测试发现程序虽然存在检测但是其检测方法存在漏洞，他检测方法是在发创建订

单包前进行检测，并不是在我们发送创建订单的后在后端进行检测判断，那么我们就可以

抓取一个（创建订单）的包，进行无限放包，以此来绕过其检测逻辑

抓到生成订单的包该把进行并发或者自己手动点击都可，商城在前端是有检测的，

但是可以使用该方法绕过，所有都可以进行支付

在生成时并没有进行限制只在前端提交订单包时有检测限制

该请求发送一次就会创建一次订单，并且返回订单号然后我们再回到用户订单中查看

即可证明漏洞