mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-23 03:23:44 +00:00
73 lines
5.2 KiB
Markdown
73 lines
5.2 KiB
Markdown
# Bypass do Processo de Pagamento
|
|
|
|
<details>
|
|
|
|
<summary><strong>Aprenda hacking AWS do zero ao herói com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
Outras formas de apoiar o HackTricks:
|
|
|
|
* Se você deseja ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF** Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
|
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Compartilhe seus truques de hacking enviando PRs para os** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.
|
|
|
|
</details>
|
|
|
|
**Grupo de Segurança Try Hard**
|
|
|
|
<figure><img src="../.gitbook/assets/telegram-cloud-document-1-5159108904864449420.jpg" alt=""><figcaption></figcaption></figure>
|
|
|
|
{% embed url="https://discord.gg/tryhardsecurity" %}
|
|
|
|
***
|
|
|
|
## Técnicas de Bypass de Pagamento
|
|
|
|
### Interceptação de Requisições
|
|
Durante o processo de transação, é crucial monitorar os dados trocados entre o cliente e o servidor. Isso pode ser feito interceptando todas as requisições. Dentro dessas requisições, fique atento a parâmetros com implicações significativas, como:
|
|
|
|
- **Sucesso**: Esse parâmetro frequentemente indica o status da transação.
|
|
- **Referenciador**: Pode apontar para a origem de onde a requisição se originou.
|
|
- **Callback**: Geralmente é usado para redirecionar o usuário após a conclusão de uma transação.
|
|
|
|
### Análise de URL
|
|
Se você encontrar um parâmetro que contenha uma URL, especialmente uma seguindo o padrão _example.com/payment/MD5HASH_, isso requer uma análise mais detalhada. Aqui está uma abordagem passo a passo:
|
|
|
|
1. **Copie a URL**: Extraia a URL do valor do parâmetro.
|
|
2. **Inspeção em Nova Janela**: Abra a URL copiada em uma nova janela do navegador. Essa ação é crucial para entender o resultado da transação.
|
|
|
|
### Manipulação de Parâmetros
|
|
1. **Alterar Valores de Parâmetros**: Experimente alterar os valores de parâmetros como _Sucesso_, _Referenciador_ ou _Callback_. Por exemplo, alterar um parâmetro de `false` para `true` às vezes pode revelar como o sistema lida com essas entradas.
|
|
2. **Remover Parâmetros**: Tente remover certos parâmetros completamente para ver como o sistema reage. Alguns sistemas podem ter fallbacks ou comportamentos padrão quando os parâmetros esperados estão ausentes.
|
|
|
|
### Manipulação de Cookies
|
|
1. **Examine os Cookies**: Muitos sites armazenam informações cruciais em cookies. Inspecione esses cookies em busca de dados relacionados ao status do pagamento ou autenticação do usuário.
|
|
2. **Modificar Valores de Cookies**: Altere os valores armazenados nos cookies e observe como a resposta ou comportamento do site muda.
|
|
|
|
### Sequestro de Sessão
|
|
1. **Tokens de Sessão**: Se tokens de sessão são usados no processo de pagamento, tente capturá-los e manipulá-los. Isso pode fornecer insights sobre vulnerabilidades de gerenciamento de sessão.
|
|
|
|
### Manipulação de Respostas
|
|
1. **Interceptar Respostas**: Use ferramentas para interceptar e analisar as respostas do servidor. Procure por quaisquer dados que possam indicar uma transação bem-sucedida ou revelar os próximos passos no processo de pagamento.
|
|
2. **Modificar Respostas**: Tente modificar as respostas antes que sejam processadas pelo navegador ou pela aplicação para simular um cenário de transação bem-sucedida.
|
|
|
|
**Grupo de Segurança Try Hard**
|
|
|
|
<figure><img src="../.gitbook/assets/telegram-cloud-document-1-5159108904864449420.jpg" alt=""><figcaption></figcaption></figure>
|
|
|
|
{% embed url="https://discord.gg/tryhardsecurity" %}
|
|
|
|
<details>
|
|
|
|
<summary><strong>Aprenda hacking AWS do zero ao herói com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
Outras formas de apoiar o HackTricks:
|
|
|
|
* Se você deseja ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF** Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
|
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Compartilhe seus truques de hacking enviando PRs para os** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.
|
|
|
|
</details>
|