mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-19 09:34:03 +00:00
62 lines
4.7 KiB
Markdown
62 lines
4.7 KiB
Markdown
|
# Bypass Payment Process
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Support HackTricks</summary>
|
||
|
|
|
||
|
|
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|
||
|
|
|
||
|
|
## Técnicas de Bypass de Pagamento
|
||
|
|
|
||
|
|
### Interceptação de Requisições
|
||
|
|
Durante o processo de transação, é crucial monitorar os dados sendo trocados entre o cliente e o servidor. Isso pode ser feito interceptando todas as requisições. Dentro dessas requisições, fique atento a parâmetros com implicações significativas, como:
|
||
|
|
|
||
|
|
- **Success**: Este parâmetro geralmente indica o status da transação.
|
||
|
|
- **Referrer**: Pode apontar para a origem de onde a requisição se originou.
|
||
|
|
- **Callback**: Este é tipicamente usado para redirecionar o usuário após a conclusão de uma transação.
|
||
|
|
|
||
|
|
### Análise de URL
|
||
|
|
Se você encontrar um parâmetro que contém uma URL, especialmente uma seguindo o padrão _example.com/payment/MD5HASH_, isso requer uma análise mais cuidadosa. Aqui está uma abordagem passo a passo:
|
||
|
|
|
||
|
|
1. **Copie a URL**: Extraia a URL do valor do parâmetro.
|
||
|
|
2. **Inspeção em Nova Janela**: Abra a URL copiada em uma nova janela do navegador. Esta ação é crítica para entender o resultado da transação.
|
||
|
|
|
||
|
|
### Manipulação de Parâmetros
|
||
|
|
1. **Mude os Valores dos Parâmetros**: Experimente alterar os valores de parâmetros como _Success_, _Referrer_ ou _Callback_. Por exemplo, mudar um parâmetro de `false` para `true` pode às vezes revelar como o sistema lida com essas entradas.
|
||
|
|
2. **Remova Parâmetros**: Tente remover certos parâmetros completamente para ver como o sistema reage. Alguns sistemas podem ter comportamentos padrão ou alternativas quando parâmetros esperados estão ausentes.
|
||
|
|
|
||
|
|
### Alteração de Cookies
|
||
|
|
1. **Examine os Cookies**: Muitos sites armazenam informações cruciais em cookies. Inspecione esses cookies em busca de dados relacionados ao status de pagamento ou autenticação do usuário.
|
||
|
|
2. **Modifique os Valores dos Cookies**: Altere os valores armazenados nos cookies e observe como a resposta ou o comportamento do site muda.
|
||
|
|
|
||
|
|
### Sequestro de Sessão
|
||
|
|
1. **Tokens de Sessão**: Se tokens de sessão são usados no processo de pagamento, tente capturá-los e manipulá-los. Isso pode fornecer insights sobre vulnerabilidades na gestão de sessões.
|
||
|
|
|
||
|
|
### Alteração de Respostas
|
||
|
|
1. **Interceptar Respostas**: Use ferramentas para interceptar e analisar as respostas do servidor. Procure por dados que possam indicar uma transação bem-sucedida ou revelar os próximos passos no processo de pagamento.
|
||
|
|
2. **Modificar Respostas**: Tente modificar as respostas antes que sejam processadas pelo navegador ou pela aplicação para simular um cenário de transação bem-sucedida.
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Support HackTricks</summary>
|
||
|
|
|
||
|
|
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|