Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-24 05:33:33 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/bypass-payment-process.md

4.7 KiB
Raw Blame History

Bypass Payment Process

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Técnicas de Bypass de Pagamento

Interceptação de Requisições

Durante o processo de transação, é crucial monitorar os dados sendo trocados entre o cliente e o servidor. Isso pode ser feito interceptando todas as requisições. Dentro dessas requisições, fique atento a parâmetros com implicações significativas, como:

  • Success: Este parâmetro geralmente indica o status da transação.
  • Referrer: Pode apontar para a origem de onde a requisição se originou.
  • Callback: Este é tipicamente usado para redirecionar o usuário após a conclusão de uma transação.

Análise de URL

Se você encontrar um parâmetro que contém uma URL, especialmente uma seguindo o padrão example.com/payment/MD5HASH, isso requer uma análise mais cuidadosa. Aqui está uma abordagem passo a passo:

  1. Copie a URL: Extraia a URL do valor do parâmetro.
  2. Inspeção em Nova Janela: Abra a URL copiada em uma nova janela do navegador. Esta ação é crítica para entender o resultado da transação.

Manipulação de Parâmetros

  1. Mude os Valores dos Parâmetros: Experimente alterar os valores de parâmetros como Success, Referrer ou Callback. Por exemplo, mudar um parâmetro de false para true pode às vezes revelar como o sistema lida com essas entradas.
  2. Remova Parâmetros: Tente remover certos parâmetros completamente para ver como o sistema reage. Alguns sistemas podem ter comportamentos padrão ou alternativas quando parâmetros esperados estão ausentes.

Alteração de Cookies

  1. Examine os Cookies: Muitos sites armazenam informações cruciais em cookies. Inspecione esses cookies em busca de dados relacionados ao status de pagamento ou autenticação do usuário.
  2. Modifique os Valores dos Cookies: Altere os valores armazenados nos cookies e observe como a resposta ou o comportamento do site muda.

Sequestro de Sessão

  1. Tokens de Sessão: Se tokens de sessão são usados no processo de pagamento, tente capturá-los e manipulá-los. Isso pode fornecer insights sobre vulnerabilidades na gestão de sessões.

Alteração de Respostas

  1. Interceptar Respostas: Use ferramentas para interceptar e analisar as respostas do servidor. Procure por dados que possam indicar uma transação bem-sucedida ou revelar os próximos passos no processo de pagamento.
  2. Modificar Respostas: Tente modificar as respostas antes que sejam processadas pelo navegador ou pela aplicação para simular um cenário de transação bem-sucedida.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}