说到优惠券大家可能想到的是并发,当然这篇文章不是讲并发的,讲几个关于优惠券领取和使用的问题,涉及的隐私问题打码可能会多一点

#### 0x01:领取优惠券

首先说一下越权领取的问题,某app测试中有领取优惠券处

在点击领取后抓包当然能得到领取优惠券的数据包,且以code标识

在并发后并没有成功,这时我回到个人中心查看优惠券页面,发现有付费的优惠券

点击进去后在数据包中我们能看到couponCode,替换就能领取这个付费优惠券

如果正常用优惠券领取接口进行领取的,可能是领取不到的,我这里重点要说明的是**活动接口**,这个很重要,下次希望师傅们测试获取优惠券领取接口时,能够找到本来不能领取的优惠券,用这个接口进行越权领取测试

在又一次的测试中,发现了一个更有意思的点,通过积分商城内会有兑换优惠券的,我这里虽然拿一张截图作为例子,并不代表是这里

假装这里是优惠券,这里我们点不进去,也看不到优惠券的code(因为会提示积分不足)

这时有的师傅可能会想到了,没错,修改返回包,把510积分直接改成能兑换的积分值,当然我们兑换不了,但是却能进入兑换功能的界面,而这个界面得到了这个优惠券的code

这时候我又拿了一个优惠券领取接口测试,发现同样得到了这个优惠券,而不用花积分去兑换

总之也就是测试普通优惠券领取接口的同时,平常多关注一下各种活动领取的接口,当然不止限制于领取优惠券的接口,而不只是测个并发草草了事

#### 0x02:优惠券的使用

这个可能很多师傅知道了,并发使用与越权使用

给了一直新人券,找个商品订购,然后并发提交订单

成功创建订单,并且进行了一部分支付,也都是成功的

越权使用

很简单,没什么好说的,使用优惠券的时候将A优惠券换成B优惠券

满20才能用,替换id

绕过限制直接使用

当然优惠券还有许多测试方法,这里只是一部分,这里所说的基本都在所属src拿到了高危,所以还是值得去测试的


本文迁移自知识星球“火线Zone”

说点什么吧...