支払いプロセスのバイパス

Reading time: 5 minutes

支払いバイパステクニック

リクエストの傍受

取引プロセス中、クライアントとサーバー間で交換されるデータを監視することが重要です。これはすべてのリクエストを傍受することで行えます。これらのリクエスト内で、重要な意味を持つパラメータに注意してください。例えば：

• Success: このパラメータは、取引のステータスを示すことがよくあります。
• Referrer: リクエストが発生した元のソースを指すことがあります。
• Callback: これは通常、取引が完了した後にユーザーをリダイレクトするために使用されます。

URL分析

URLを含むパラメータに遭遇した場合、特にパターン example.com/payment/MD5HASH に従うものは、より詳細な検査が必要です。以下はステップバイステップのアプローチです：

1. URLをコピー: パラメータ値からURLを抽出します。
2. 新しいウィンドウで検査: コピーしたURLを新しいブラウザウィンドウで開きます。このアクションは、取引の結果を理解するために重要です。

パラメータ操作

1. パラメータ値の変更: Success、Referrer、または Callback のようなパラメータの値を変更して実験します。例えば、パラメータを false から true に変更すると、システムがこれらの入力をどのように処理するかが明らかになることがあります。
2. パラメータの削除: 特定のパラメータを完全に削除して、システムがどのように反応するかを確認します。一部のシステムは、期待されるパラメータが欠けている場合にフォールバックやデフォルトの動作を持っているかもしれません。

クッキーの改ざん

1. クッキーの検査: 多くのウェブサイトは、クッキーに重要な情報を保存します。支払いステータスやユーザー認証に関連するデータが含まれているかどうか、これらのクッキーを検査します。
2. クッキー値の変更: クッキーに保存されている値を変更し、ウェブサイトの応答や動作がどのように変わるかを観察します。

セッションハイジャック

1. セッショントークン: 支払いプロセスでセッショントークンが使用されている場合、それをキャプチャして操作してみてください。これにより、セッション管理の脆弱性に関する洞察が得られるかもしれません。

応答の改ざん

1. 応答の傍受: ツールを使用してサーバーからの応答を傍受し、分析します。成功した取引を示すデータや、支払いプロセスの次のステップを明らかにするデータを探します。
2. 応答の変更: ブラウザやアプリケーションによって処理される前に応答を変更し、成功した取引シナリオをシミュレートしようとします。