在支付系统 QIWI 中发现漏洞
这是支付系统本身的缺陷。
在测试 HTTP 和 SOAP 协议的过程中发现了一个令人不快的情况：可以伪造来自在线商店（IM）的 HTTP 请求以生成账单，同时阻断真实请求的传输。
在伪造的请求中，金额被修改为大幅降低的金额。在支付降低后的账单金额后，在线商店会根据 SOAP 响应中的数据自动将订单状态更改为“已付款”。因此，理论上可以欺骗在线商店（如果不监控 qiwi.ru 网站上的通知和账单），以远低于在线商店标价的价格购买商品。例如，我刚刚以 5 卢布的价格从自己这里购买了一个价值 3385 卢布的汽车轮毂。
我已向 QIWI 技术支持部门写信，详细说明了问题并提供了实现欺骗的示例。作为解决方案，我建议要么在生成账单的请求中添加哈希值，要么在 SOAP 响应中将已支付的金额传递给在线商店。最好两者都实现。
我将等待他们的回复。
在此期间，建议比对自己在线商店中的已支付订单金额与 qiwi.ru 个人账户中的金额。