Bypass do Processo de Pagamento

Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras formas de apoiar o HackTricks:

Se você deseja ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF Confira os PLANOS DE ASSINATURA!
Adquira o swag oficial PEASS & HackTricks
Descubra A Família PEASS, nossa coleção exclusiva de NFTs
Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @carlospolopm.
Compartilhe seus truques de hacking enviando PRs para os HackTricks e HackTricks Cloud repositórios do github.

Encontre vulnerabilidades que mais importam para que você possa corrigi-las mais rapidamente. O Intruder rastreia sua superfície de ataque, executa varreduras proativas de ameaças, encontra problemas em toda a sua pilha tecnológica, de APIs a aplicativos da web e sistemas em nuvem. Experimente gratuitamente hoje.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

Técnicas de Bypass de Pagamento

Interceptação de Requisições

Durante o processo de transação, é crucial monitorar os dados trocados entre o cliente e o servidor. Isso pode ser feito interceptando todas as requisições. Dentro dessas requisições, fique atento a parâmetros com implicações significativas, como:

Sucesso: Este parâmetro frequentemente indica o status da transação.
Referente: Pode apontar para a origem de onde a requisição se originou.
Callback: Geralmente é usado para redirecionar o usuário após a conclusão de uma transação.

Análise de URL

Se você encontrar um parâmetro que contenha uma URL, especialmente uma seguindo o padrão example.com/payment/MD5HASH, isso requer uma análise mais detalhada. Aqui está uma abordagem passo a passo:

Copie a URL: Extraia a URL do valor do parâmetro.
Inspeção em Nova Janela: Abra a URL copiada em uma nova janela do navegador. Essa ação é crucial para entender o resultado da transação.

Manipulação de Parâmetros

Alterar Valores de Parâmetros: Experimente alterar os valores de parâmetros como Sucesso, Referente ou Callback. Por exemplo, alterar um parâmetro de false para true às vezes pode revelar como o sistema lida com essas entradas.
Remover Parâmetros: Tente remover certos parâmetros completamente para ver como o sistema reage. Alguns sistemas podem ter fallbacks ou comportamentos padrão quando os parâmetros esperados estão ausentes.

Manipulação de Cookies

Examine os Cookies: Muitos sites armazenam informações cruciais em cookies. Inspecione esses cookies em busca de dados relacionados ao status do pagamento ou autenticação do usuário.
Modificar Valores dos Cookies: Altere os valores armazenados nos cookies e observe como a resposta ou comportamento do site muda.

Sequestro de Sessão

Tokens de Sessão: Se tokens de sessão são usados no processo de pagamento, tente capturá-los e manipulá-los. Isso pode fornecer insights sobre vulnerabilidades de gerenciamento de sessão.

Manipulação de Respostas

Interceptar Respostas: Use ferramentas para interceptar e analisar as respostas do servidor. Procure por quaisquer dados que possam indicar uma transação bem-sucedida ou revelar os próximos passos no processo de pagamento.
Modificar Respostas: Tente modificar as respostas antes que sejam processadas pelo navegador ou pela aplicação para simular um cenário de transação bem-sucedida.