分析并了解支付过程
我们Sinesafe对整个第三方支付平台网站的流程进行了分析如下,平台首先要对接到上游支付通道,然后由上游支付通道返回支付状态回调到平台,然后由平台的状态返回给商户(也就是码商),首先码商注册好平台的商家用户...,然后从商家用户后台获取接口对接程序与码商自己的网站进行对接调试,如果商家会员对订单进行了支付,如果支付成功会回从平台获取支付状态,而平台去从上游通道获取状态来回调到自身平台,目前大部分的接口都是一些PDD...支付漏洞安全原因症状
1.发现在码商下的会员订单并未成功支付导致在平台这里的支付状态被黑客修改为已支付,从而回调数据给商户说明已经支付了,导致订单是成功的状态,商家不得不发货给会员(也就是上分给会员)从而恶意提现导致商家损失严重...说明不是通过后台去修改的,是通过直接执行sql语句或直接修改数据库才达到的,知道问题原因后分析了下程序其他文件看是否有脚本后门,果真发现了phpwebshell后门,其中有好几个后门都是可以直接操作mysql...第三方支付平台网站安全防护建议
对新平台的上线前必须要渗透测试漏洞,对sql注入进行语句严格定义和转换,对上传这里的格式进行白名单控制,对网站支付回调和通过获取状态严格做对比,如对sgin做来回匹配比对