某省电信支付漏洞可用1分钱购买全国流量卡下载

1分钱购买的流量卡可以给全国手机充值使用。

陕西电信网厅提供流量卡购买功能

http://sn.189.cn/service/pay/fluxcard.action?tab=buyFluxCard

我们随便用一个电信号码试试，非陕西省的号码没有通过电信客户验证居然也能提交购买

随便选个支付方式，提交并截包

看到金额了吗，果断改成1并放行

看到了没，支付提示出现了

果断支付了

成功，欸手机响了，流量卡密已经发过来了耶。

 

修复方案：

传递订单数据一定要签名验证，接受数据要验证金额



涉及到钱的方面一定要更加谨慎！