Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/bypass-payment-process.md

4.7 KiB
Raw Blame History

Bypass Payment Process

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Tecniche di Bypass del Pagamento

Intercettazione delle Richieste

Durante il processo di transazione, è fondamentale monitorare i dati scambiati tra il client e il server. Questo può essere fatto intercettando tutte le richieste. All'interno di queste richieste, fai attenzione ai parametri con implicazioni significative, come:

  • Success: Questo parametro indica spesso lo stato della transazione.
  • Referrer: Potrebbe indicare la fonte da cui è originata la richiesta.
  • Callback: Questo è tipicamente usato per reindirizzare l'utente dopo che una transazione è stata completata.

Analisi dell'URL

Se incontri un parametro che contiene un URL, specialmente uno che segue il modello example.com/payment/MD5HASH, richiede un esame più attento. Ecco un approccio passo-passo:

  1. Copia l'URL: Estrai l'URL dal valore del parametro.
  2. Ispezione in Nuova Finestra: Apri l'URL copiato in una nuova finestra del browser. Questa azione è critica per comprendere l'esito della transazione.

Manipolazione dei Parametri

  1. Cambia i Valori dei Parametri: Sperimenta alterando i valori di parametri come Success, Referrer o Callback. Ad esempio, cambiare un parametro da false a true può a volte rivelare come il sistema gestisce questi input.
  2. Rimuovi Parametri: Prova a rimuovere completamente alcuni parametri per vedere come reagisce il sistema. Alcuni sistemi potrebbero avere fallback o comportamenti predefiniti quando i parametri attesi mancano.

Manomissione dei Cookie

  1. Esamina i Cookie: Molti siti web memorizzano informazioni cruciali nei cookie. Ispeziona questi cookie per eventuali dati relativi allo stato del pagamento o all'autenticazione dell'utente.
  2. Modifica i Valori dei Cookie: Alterare i valori memorizzati nei cookie e osservare come cambia la risposta o il comportamento del sito web.

Hijacking della Sessione

  1. Token di Sessione: Se i token di sessione sono utilizzati nel processo di pagamento, prova a catturarli e manipolarli. Questo potrebbe fornire informazioni sulle vulnerabilità nella gestione delle sessioni.

Manomissione delle Risposte

  1. Intercetta le Risposte: Usa strumenti per intercettare e analizzare le risposte dal server. Cerca eventuali dati che potrebbero indicare una transazione riuscita o rivelare i passaggi successivi nel processo di pagamento.
  2. Modifica le Risposte: Prova a modificare le risposte prima che vengano elaborate dal browser o dall'applicazione per simulare uno scenario di transazione riuscita.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}