불충분한 인증 - 상품가격 조작

웹하는빡통 2019. 10. 5. 12:15

상품가격 조작.

구매내역에 들어가 정리/수납용품에서 물품구매 시도를 한다.

프록시로 요청값을 확인한결과 Price라는 값이 상품가격임을 알 수 있음. 그 다음 상품가격을 1원으로 변경함.

DB소스코드를 확인해본 결과 금액결정을 서버에서 처리하는 것이 아니라 요청값에서 처리를 함므로서 금액조작이 가능한 것을 알 수 있다.

그 결과 상품 결제 금액이 1원으로 바뀐 것을 확인 할 수 가 있고 마지막으로 결제하기 버튼을 누르고 결제가 완료된 것을 알 수 있음.