shixinyu's Blog: [Bug]腾讯的财付通的小漏洞

[Bug]腾讯的财付通的小漏洞

腾讯旗下的拍拍网用于支付的支付网关“财付通”存在一个小漏洞，可能会被恶意利用。
https://www.tenpay.com/cgi-bin/v1.0/success.cgi?suc_msg=
在这串URL的?suc_msg=后面输入什么后，打开的页面也会显示相应的文字信息。与工商银行前一段时间发生的漏洞极为相似。比如我访问：
https://www.tenpay.com/cgi-bin/v1.0/success.cgi?suc_msg=财付通此时忙，请使用支付宝！"http://www.alipay.com"
结果就会显示如图所示页面：

# 张贴者：shixinyu @ 下午3:17

评论:

现腾讯似乎已发现这个问题，已修复部分漏洞，即?suc_msg=后面如果存在“http://”字样便会直接返回“提示信息有误”提示，但仍可以自定义文字以及字母。

# 张贴者：

shixinyu : 2007年5月17日下午7:10

此漏洞现时已修复，应该说腾讯的反应速度是不错的。不过这个漏洞确实有点儿低级，修复了就好。

# 张贴者：

shixinyu : 2007年5月17日下午9:33

跨站

# 张贴者：

icrz : 2007年5月24日下午5:36

申请财付通商家，我为您续费域名或送您com国际顶级域名，或免费赠送财付通联盟广告位啦！免费注册财付通：https://www.tenpay.com/zft/register_1.shtml 活动详情请咨询QQ：88881497 726120628 726120621

# 张贴者：

匿名 : 2008年7月22日下午6:06

<< 主页