رایتاپ idor شماره 2

سلام.من بهروز منصوری هستم و با رایتاپ idor شماره 2  در خدمتتونم.

در این رایتاپ در مورد گزارش ۲۶۰۰ دلاری از یک سازمان چند میلیارد دلاری صحبت میکنیم.

تاثیر این حمله:

به دست آوردن داده های حساس از جمله آدرس، جزئیات سفارش، شماره تلفن، کدهای QR پرداخت، و غیره…

شروع کار

پس از بررسی دستی سایت، عملکرد منحصر به فردی را در مقایسه با سایر پلتفرم های خرید مشاهده کردم.

معمولاً هنگام سفارش محصول، تأیید پرداخت فوری مورد نیاز است.

با این حال، در این سایت، پس از یک خرید موفق، یک زمان 3 تا 4 روزه برای تایید نهایی پرداخت قبل از ارسال سفارش به منزل شما ارائه می شود.

اگر پرداخت در این مدت تکمیل نشود، سفارش به طور خودکار لغو می شود.

بنابراین، من تصمیم گرفتم این قابلیت را آزمایش کنم.

من 1 محصول را انتخاب کردم و سفارش دادم اما پرداختی انجام ندادم.

بنابراین، پس از انجام سفارش، 3 گزینه به من نمایش داد.

 

اطلاعات سفارش

جزئیاتی مانند اطلاعات محصول، آدرس، مقدار، مبلغ و گزینه های پرداخت را مشاهده کنید (با دانلود در قالب PDF).

کمک برای خرید

برای دریافت راهنمایی در مورد محصول (پشتیبانی).

گزینه غیر فعال کردن خرید

برای لغو سفارش.

بنابراین، در آن لحظه من به IDOR فکر کردم. Burp Suite من همیشه در حین گشت و گذار در سایت به مرورگر متصل بود.

در حالی که روی “اطلاعات سفارش” کلیک می کنم، درخواست را بررسی کردم.

خوشبختانه، دیدم که سرور از پارامتر “orderId” برای شناسایی و رسیدگی به هر سفارش استفاده می کند. (بزرگترین مزیت این بود که یک شناسه شماره گذاری شده مانند، 123456، 654321، 789456، و غیره تولید می کرد. بنابراین مهاجم به راحتی می تواند آن را تغییر دهد).

من این درخواست را به تب Repeater فرستادم.

بلافاصله آخرین رقم پارامتر “orderId” را تغییر دادم.

هر دو URL حاوی داده های حساس هستند.

نشانی اینترنتی اول حاوی داده‌هایی درباره تامین‌کنندگان محصول و نشانی اینترنتی دوم حاوی داده‌هایی درباره فاکتور پرداخت است، مانند نام، نام خانوادگی، نام، آدرس فیزیکی، تاریخ سفارش، مبلغ، نام محصول، جزئیات آپارتمان و غیره … (در قالب PDF).

پس از گزارش، پاسخ اولیه دریافت کردم که در حال بررسی این موضوع هستند.

متأسفانه 3 ماه ارتباط دیگری برقرار نشد.

بعد از 3 ماه آنها به من پاسخ مورد انتظار را دادند.

ما خوشحالیم که به شما اطلاع دهیم که گزارش امنیتی شما برنده جایزه 2600 دلاری شده است.

 

اگر به مباحث پیراموت موضوع هک و امنیت و باگ بانتی علاقه مند هستید از صفحه کلوپ امنیت دیدن کنید.