Turkhackteam.org/net - Cyber Security Platform Turkhackteam Under Ground Web & Server Güvenliği İDOR Güvenlik Açığı ile Ücretsiz Bilet Alın / Pentester
İDOR Güvenlik Açığı ile Ücretsiz Bilet Alın / Pentester
Konuya kimler ne umutla girdiyse, doğru umutlarla girdi İnsecure Direct Object References açığının vereceği bir zararı inceleyelim. Evet, bu web güvenlik açığını daha önce anlatmıştım. Ayrıntılı bilgi için inceleyin:
Geçelim biz bir başka zararına.. Aşağıdaki sayfada, kişi başına 15 euro olan film biletleri satılıyor. Haliyle burada İDOR zafiyeti varsa, birçok bilete para ödemeden sahip olabiliriz. İşte, İDOR zafiyeti buna sebebiyet verecek.
10 bilet alalım, hesabımızdan tahsil edilen ücrete bakalım.
Sizce herşey gayet normal değil mi? 10 bilet*15euro = 150euro gayet normal.. Ancak burada, HTTP isteğinde araya girerek 10 bileti az bir miktara alabiliriz.
"ticket_price = 15" yani bir bileti 15 euro'ya almalarını sağlayan parametre. Peki biz bunu, "2" olarak değiştirirsek, 10 bileti sadece 20euro'ya almış olacağız, normalde 150 ödememiz gerekirken..
"ticket_price" parametresini 2 olarak değiştirince sadece 20euro tahsil edildi hesabımdan, nasıl da çakallık değil mi İDOR bunlara sebebiyet veriyor..
TheArtex Teşekkür etti.
Eyvallah kardeşim ücretsiz bilet aldım
Ne demek kardeşim, nice ücretsiz biletlere
Acaba hangi filmler var alıyorum