Bypass Payment Process
Last updated
Last updated
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
在交易过程中，监控客户端与服务器之间交换的数据至关重要。这可以通过拦截所有请求来实现。在这些请求中，注意具有重大影响的参数，例如：
成功：此参数通常指示交易的状态。
引荐来源：它可能指向请求来源。
回调：这通常用于在交易完成后重定向用户。
如果遇到包含 URL 的参数，特别是遵循模式 example.com/payment/MD5HASH 的 URL，则需要更仔细地检查。以下是逐步方法：
复制 URL：从参数值中提取 URL。
新窗口检查：在新浏览器窗口中打开复制的 URL。此操作对于理解交易结果至关重要。
更改参数值：通过更改参数如 成功、引荐来源 或 回调 的值进行实验。例如，将参数从 false 更改为 true 有时可以揭示系统如何处理这些输入。
移除参数：尝试完全移除某些参数以查看系统的反应。有些系统在缺少预期参数时可能会有后备或默认行为。
检查 Cookies：许多网站在 Cookies 中存储关键信息。检查这些 Cookies 中与支付状态或用户身份验证相关的数据。
修改 Cookie 值：更改存储在 Cookies 中的值，并观察网站的响应或行为如何变化。
会话令牌：如果在支付过程中使用会话令牌，尝试捕获和操控它们。这可能会揭示会话管理的漏洞。
拦截响应：使用工具拦截并分析来自服务器的响应。查找可能指示成功交易或揭示支付流程下一步的数据。
修改响应：尝试在浏览器或应用程序处理之前修改响应，以模拟成功交易场景。
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
