불충분한 인증 - 상품가격 조작

상품가격 조작.

구매내역에 들어가 정리/수납용품에서 물품구매 시도를 한다.

프록시로 요청값을 확인한결과 Price라는 값이 상품가격임을 알 수 있음. 그 다음 상품가격을 1원으로 변경함.

 

DB소스코드를 확인해본 결과 금액결정을 서버에서 처리하는 것이 아니라 요청값에서 처리를 함므로서 금액조작이 가능한 것을 알 수 있다.

그 결과 상품 결제 금액이 1원으로 바뀐 것을 확인 할 수 가 있고 마지막으로 결제하기 버튼을 누르고 결제가 완료된 것을 알 수 있음.

 

※ 애초에 상품결제를 결정하는 부분을 서버에서 처리를 안해주고 단순히 요청값에서 처리가 된다는 것 자체가 말이 안됨. 매우 잘못된 거라 생각 하시면 됩니다.