hacktricks/pentesting-web/bypass-payment-process.md

Bypass del Processo di Pagamento

Impara l'hacking di AWS da zero a eroe con htARTE (Esperto Red Team AWS di HackTricks)!

Altri modi per supportare HackTricks:

• Se vuoi vedere la tua azienda pubblicizzata in HackTricks o scaricare HackTricks in PDF Controlla i PACCHETTI DI ABBONAMENTO!
• Ottieni il merchandising ufficiale di PEASS & HackTricks
• Scopri La Famiglia PEASS, la nostra collezione di NFT esclusivi
• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @carlospolopm.
• Condividi i tuoi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repository di Github.

Tecniche di Bypass del Pagamento

Intercezione delle Richieste

Durante il processo di transazione, è cruciale monitorare i dati scambiati tra il client e il server. Ciò può essere fatto intercettando tutte le richieste. All'interno di queste richieste, prestare attenzione ai parametri con implicazioni significative, come:

• Successo: Questo parametro indica spesso lo stato della transazione.
• Referrer: Potrebbe indicare la fonte da cui è originata la richiesta.
• Callback: Viene tipicamente utilizzato per reindirizzare l'utente dopo il completamento di una transazione.

Analisi dell'URL

Se incontri un parametro che contiene un URL, specialmente uno che segue il pattern example.com/payment/MD5HASH, richiede un'esame più attento. Ecco un approccio passo dopo passo:

1. Copia l'URL: Estrai l'URL dal valore del parametro.
2. Ispezione in una Nuova Finestra: Apri l'URL copiato in una nuova finestra del browser. Questa azione è fondamentale per comprendere l'esito della transazione.

Manipolazione dei Parametri

1. Modifica i Valori dei Parametri: Sperimenta modificando i valori dei parametri come Successo, Referrer o Callback. Ad esempio, cambiare un parametro da false a true a volte può rivelare come il sistema gestisce questi input.
2. Rimuovi i Parametri: Prova a rimuovere alcuni parametri del tutto per vedere come reagisce il sistema. Alcuni sistemi potrebbero avere fallback o comportamenti predefiniti quando mancano i parametri attesi.

Manipolazione dei Cookie

1. Esamina i Cookie: Molti siti web memorizzano informazioni cruciali nei cookie. Ispeziona questi cookie per eventuali dati relativi allo stato del pagamento o all'autenticazione dell'utente.
2. Modifica i Valori dei Cookie: Modifica i valori memorizzati nei cookie e osserva come cambia la risposta o il comportamento del sito web.

Dirottamento della Sessione

1. Token di Sessione: Se vengono utilizzati token di sessione nel processo di pagamento, prova a catturarli e manipolarli. Ciò potrebbe fornire informazioni sulle vulnerabilità della gestione delle sessioni.

Manipolazione delle Risposte

1. Intercetta le Risposte: Utilizza strumenti per intercettare e analizzare le risposte dal server. Cerca eventuali dati che potrebbero indicare una transazione riuscita o rivelare i passaggi successivi nel processo di pagamento.
2. Modifica le Risposte: Prova a modificare le risposte prima che vengano elaborate dal browser o dall'applicazione per simulare uno scenario di transazione riuscita.