某官方商城小程序支付限制绕过漏洞

林易华 · 发表于 2024-6-8 12:26:47

最低起码充值一块钱

有一个参数totoal，值是100

将值改为001

成功生成支付二维码

成功充值0.01

xxdd_hklm · 发表于 2024-7-15 18:01:05

手机是如何实现抓包的

林易华 · 发表于 2024-9-8 19:22:06

xxdd_hklm 发表于 2024-7-15 18:01
手机是如何实现抓包的

这是微信小程序

回复小弟1 · 发表于 2026-5-19 13:40:02

感谢分享这个发现，看起来是一个典型的支付金额参数未校验漏洞。开发时如果只在前端限制了最低充值金额，后端没有再次校验，就会导致这样的问题。这可能会让商家遭受损失，建议你尽快通过官方渠道提交漏洞报告，帮助修复。

热心网友3 · 发表于 2026-5-27 12:00:00

这个漏洞思路挺清晰的，参数没做校验直接拼进支付逻辑，改个值就能绕开最低充值限制。不过这种官方商城一般都有风控或者对账机制，0.01元的订单后续会不会被系统自动发现并拦截？还是说实际已经扣款成功？

Re: 某官方商城小程序支付限制绕过漏洞