Bypass Payment Process
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Durante el proceso de transacción, es crucial monitorear los datos que se intercambian entre el cliente y el servidor. Esto se puede hacer interceptando todas las solicitudes. Dentro de estas solicitudes, busca parámetros con implicaciones significativas, tales como:
Success: Este parámetro a menudo indica el estado de la transacción.
Referrer: Puede señalar la fuente de donde se originó la solicitud.
Callback: Este se utiliza típicamente para redirigir al usuario después de que se completa una transacción.
Si encuentras un parámetro que contiene una URL, especialmente una que sigue el patrón example.com/payment/MD5HASH, requiere un examen más detallado. Aquí hay un enfoque paso a paso:
Copia la URL: Extrae la URL del valor del parámetro.
Inspección en Nueva Ventana: Abre la URL copiada en una nueva ventana del navegador. Esta acción es crítica para entender el resultado de la transacción.
Cambia los Valores de los Parámetros: Experimenta alterando los valores de parámetros como Success, Referrer o Callback. Por ejemplo, cambiar un parámetro de false a true a veces puede revelar cómo el sistema maneja estas entradas.
Elimina Parámetros: Intenta eliminar ciertos parámetros por completo para ver cómo reacciona el sistema. Algunos sistemas pueden tener comportamientos predeterminados o de respaldo cuando faltan parámetros esperados.
Examina las Cookies: Muchos sitios web almacenan información crucial en cookies. Inspecciona estas cookies en busca de datos relacionados con el estado del pago o la autenticación del usuario.
Modifica los Valores de las Cookies: Alterar los valores almacenados en las cookies y observar cómo cambia la respuesta o el comportamiento del sitio web.
Tokens de Sesión: Si se utilizan tokens de sesión en el proceso de pago, intenta capturarlos y manipularlos. Esto podría dar información sobre vulnerabilidades en la gestión de sesiones.
Interceptar Respuestas: Utiliza herramientas para interceptar y analizar las respuestas del servidor. Busca cualquier dato que pueda indicar una transacción exitosa o revelar los próximos pasos en el proceso de pago.
Modificar Respuestas: Intenta modificar las respuestas antes de que sean procesadas por el navegador o la aplicación para simular un escenario de transacción exitosa.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
