2

Ребят, приветствую. На сайте случалась ситуация, что один из пользователей смог обойти проверку и украсть средства. После просмотра, увидел, что у пользователя в базе был отрицательный баланс. Просьба, помочь и навести на мысль, заранее премного благодарен.

PHP:

    $user = mysqli_fetch_assoc(mysqli_query($CONNECT, "SELECT * FROM `users` WHERE `login` = '$_SESSION[USER_LOGIN]'"));// сессия присваивается после авторизации
    $balance = $user['balance'];//переменная с данными пользователя
    if ( isset($_POST['cashout']) ) {
        if ( $_POST['amount'] >= 10 ) {
            if ( $_POST['amount'] <= $balance ) {

                // Здесь скрипт выполняющий вывод средств и обновляющий баланс в БД

                $balance_res = $balance - $_POST['amount'];
                mysqli_query($CONNECT, "UPDATE `users`  SET `balance` = $balance_res WHERE `id` = '$us_id'");
                MessageSend(2, 'Средства успешно выведены', '/cashout');
            } else {
                MessageSend(1, 'Недостаточно средств', '/cashout');
            }
        } else {    
            MessageSend(1, 'Минимальная сумма 10 рублей.', '/cashout');
        }
    }

Форма:

<form action="/cashout" method="POST">
    Кому: <input type="text" class="form-control" name="payeer" placeholder="Payeer кошелек">
    Сколько: <input type="number" name="amount" class="form-control" placeholder="Сумма в рублях">
    <input type="submit" name="cashout" value="Cash Out">
</form>
23
  • 3
    УУУУ, Почитайте про SQL инъекции, скорее всего вместо логина был введён код
    – Komdosh
    21 окт 2017 в 15:52
  • @Komdosh Причем здесь SQL инъекция, если баланс после вывода у человека был отрицательный. И он прошел проверку на 5-ой строчке. Я бы понял если бы там был баланс положительный. 21 окт 2017 в 15:56
  • Хороший вопрос, кроме инъекций пока в голову ничего не лезет, а историю транзакций сохраняете?
    – Komdosh
    21 окт 2017 в 16:10
  • @Komdosh Вы имеете ввиду в БД? Да, и на платежке тоже осталась история этих выводов. Вот логи точно уже пропали. Только как история может помочь? Я туда пишу время, ID транзакции на платежке, кошелек и пользователь. Больше инфы нет. 21 окт 2017 в 16:17
  • 1
    @ДанилСысоев, за счёт SQL-инъекции можно записать данные в таблицу cachout из кода, который не обращается к ней... Вы полагаете, что обошли именно этот код, потому что только этот код обращается к таблице cachout. Но именно это может оказаться ложной логической предпосылкой.
    – rugabarbo
    21 окт 2017 в 16:58

3 ответа 3

7

Неявное пребразование типов. Вот пример

<?php
$ammount=' 050w00';
$balance='40'; //<-- важно, что это строка
if($ammount>=10){
    if($ammount<=$balance){
       $balance=$balance-$ammount;
    }
}
print('balance:'.$balance);

balance:-10
1
  • Комментарии не предназначены для расширенной дискуссии; разговор перемещён в чат.
    – Qwertiy
    26 окт 2017 в 15:36
0

Возможно подмена сессионных данных $_SESSION[USER_LOGIN] на другое имя с положительным балансом а вывод и update таблиц иже идет у Вас по id.

Не видно еще кода, когда в массив записывается стояния кошелька, $user['balance']

4
  • В программе код $balance_res = $balance - $_POST['amount']; идёт после проверки if ( $_POST['amount'] <= $balance ), поэтому Ваш ответ показывает лишь одну из уязвимостей, но не объясняет отрицательный баланс...
    – rugabarbo
    21 окт 2017 в 16:55
  • Я тоже об этом думал и проверял людей с балансом больше 1к не было таких. Да и теоритически в проекте невозможен был пользователь с таким балансом. 21 окт 2017 в 16:56
  • @rugabarbo причем тут balance_res, он вычисляется уже после вывода средств, а осуществить вывод можно только если amount выше баланса пользователя с ником прописаны в сессии. 21 окт 2017 в 17:08
  • Добавил только что 21 окт 2017 в 17:13
0

Может дело в том что у вас всё это не в транзакции? Пользователь взял, подготовил запрос, 4 штуки, они всё в одну секунду проверили баланс, он положительный, и списали, вот у вас и минус

5
  • Между транзакциями интервал больше минуты 21 окт 2017 в 17:39
  • Объясните, как вы это достигли? 21 окт 2017 в 17:40
  • @ДанилСысоев И этот вектор атаки тоже возможен, особенно если время последней транзакции хранится в базе.
    – vitidev
    21 окт 2017 в 17:56
  • При таком типе атаки мы не сможем получить отрицательный баланс.
    – vitidev
    21 окт 2017 в 17:57
  • @vitidev хорошо, я учту этот факт, и что-нибудь покумекаю сверху. 21 окт 2017 в 18:28

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.