链接：https://sm4rty.medium.com/hunting-for-bugs-in-shopping-billing-feature-79055d5f399b

作者主要总结了Web应用程序的购物功能的一些漏洞总结

参数篡改

主要是和订单相关的

https://www.store.com/cart?Id=1&qty=2&price=29.99

主要是抓包来修改商品的价格

1. 把价格改低
2. 以最低价格增加产品数量
3. 价格改为负数
4. 先使用价格低的hash，然后再购买贵的商品的时候，用便宜的替换。
5. 把额外的成本改为负数，来减少总的价格

进一步阅读：

https://hackerone.com/reports/364843
https://beaglesecurity.com/blog/vulnerability/parameter-tampering.htm
https://cobalt.io/blog/parameter-tampering-vulnerability-using-3-different-approaches

竞争条件

比如，多线程查看一个商品等

测试竞争条件，加减法，货币变换，礼品或者折扣劵扥等

例子： 同一时刻使用两次相同的折扣码

竞争条件的场景

1. 同时添加产品到购物车，导致购物多个商品用一个价钱。
2. 赎回礼品卡或者优惠券，可以获得多个折扣或者相同的优惠劵

进一步阅读：

https://www.veracode.com/security/race-condition
https://hackerone.com/reports/759247
https://hackerone.com/reports/157996

CSRF

怎么测试CSRF

主要是发现程序启动和执行操作的所有的端点，然后通过后端请求创建HTML请求来测试。

比如：

1. CSRF 添加产品到购物车
2. 从购物车删除产品的CSRF
3. 更改受害者地址
4. 移除礼品卡或者购物券

进一步阅读：

https://portswigger.net/web-security/csrf
https://hackerone.com/reports/177472
https://hackerone.com/reports/123339
https://hackerone.com/reports/205953

IDOR

如果测试：

https://www.store.com/cart?userId=200

场景：

1. 查看用户订单
2. 删除用户购物车商品
3. 查看敏感信息，比如地址，信用卡等等

进一步阅读：

https://portswigger.net/web-security/access-control/idor
https://hackerone.com/reports/287789
https://zaidmessi.medium.com/idor-allows-to-see-edit-delete-the-cart-of-other-users-f619eb5f2504

点击劫持

欺骗用户来点击，用来泄露一些信息

更多：https://clickjacker.io/

场景：

1. 更新名字/地址，诱导更新地址
2. 点击劫持结账页面，不知情的情况下购买商品
3. 点击劫持添加产品或者删除商品

进一步阅读：

https://portswigger.net/web-security/clickjacking
https://hackerone.com/reports/471967
https://hackerone.com/reports/305128

绕过支付

可以使用一些代理来绕过支付，比如Burpsuite/ZAP 来拦截来自服务器的响应。然后，我们可以将响应从 false 值编辑为 true 值

更多的阅读：

https://infosecwriteups.com/bug-bounty-response-manipulation-leading-to-payment-bypass-cb5fde360b1a
https://hackerone.com/reports/1070510

敏感信息传输

没有加密传输密码和敏感数据，然后就很容易拦截这些信息。

如何测试：

使用流量分析工具来捕获整个购物过程的流量。看看信用卡地址等等是否是http传输或者说是明文

进一步阅读：

https://cwe.mitre.org/data/definitions/319.html
https://portswigger.net/kb/issues/00300100_cleartext-submission-of-password
https://shahjerry33.medium.com/clear-text-transmission-of-sensitive-data-everything-is-visible-4f2e8bc6673f