Bypass Payment Process

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Techniques de contournement de paiement

Interception de requêtes

Lors du processus de transaction, il est crucial de surveiller les données échangées entre le client et le serveur. Cela peut être fait en interceptant toutes les requêtes. Dans ces requêtes, faites attention aux paramètres ayant des implications significatives, tels que :

Succès : Ce paramètre indique souvent l'état de la transaction.
Référent : Il peut pointer vers la source d'où la requête a été émise.
Callback : Cela est généralement utilisé pour rediriger l'utilisateur après qu'une transaction soit terminée.

Analyse d'URL

Si vous rencontrez un paramètre contenant une URL, en particulier un suivant le modèle example.com/payment/MD5HASH, cela nécessite un examen plus approfondi. Voici une approche étape par étape :

Copier l'URL : Extraire l'URL de la valeur du paramètre.
Inspection dans une nouvelle fenêtre : Ouvrez l'URL copiée dans une nouvelle fenêtre de navigateur. Cette action est cruciale pour comprendre le résultat de la transaction.

Manipulation de paramètres

Changer les valeurs des paramètres : Expérimentez en modifiant les valeurs des paramètres comme Succès, Référent ou Callback. Par exemple, changer un paramètre de false à true peut parfois révéler comment le système gère ces entrées.
Supprimer des paramètres : Essayez de supprimer certains paramètres pour voir comment le système réagit. Certains systèmes peuvent avoir des comportements par défaut lorsque des paramètres attendus sont manquants.

Altération de cookies

Examiner les cookies : De nombreux sites web stockent des informations cruciales dans des cookies. Inspectez ces cookies pour toute donnée liée à l'état de paiement ou à l'authentification de l'utilisateur.
Modifier les valeurs des cookies : Alterez les valeurs stockées dans les cookies et observez comment la réponse ou le comportement du site web change.

Détournement de session

Jetons de session : Si des jetons de session sont utilisés dans le processus de paiement, essayez de les capturer et de les manipuler. Cela pourrait donner des aperçus sur les vulnérabilités de gestion de session.

Altération de réponses

Intercepter les réponses : Utilisez des outils pour intercepter et analyser les réponses du serveur. Recherchez toute donnée qui pourrait indiquer une transaction réussie ou révéler les prochaines étapes du processus de paiement.
Modifier les réponses : Essayez de modifier les réponses avant qu'elles ne soient traitées par le navigateur ou l'application pour simuler un scénario de transaction réussie.