Shikata Ga Nai

Private? There is no such things.

ビジネスロジックの脆弱性の基本的な診断手順をなるべく詳細にかいてみた②

Hello there, ('ω')ノ

 

いつものようにAcademyへ。

 

f:id:ThisIsOne:20211111182149p:plain

 

ログインして。

 

f:id:ThisIsOne:20211111182240p:plain

 

手持ちのクレジットが表示されて。

 

f:id:ThisIsOne:20211111182301p:plain

 

ページには、ニュースレターのサインアップが。

 

f:id:ThisIsOne:20211111183238p:plain

 

なにやらクーポンコードが提示されて。

 SIGNUP30

 

f:id:ThisIsOne:20211111183337p:plain

 

これがどれだけお得なのかを確認するのに製品を選んで。

 

f:id:ThisIsOne:20211111182428p:plain

 

カートに入れてみると確実に予算オーバーで。

 

f:id:ThisIsOne:20211111182531p:plain

 

まずは、下記のクーポンコードでどれだけ割引されるのか確認することに。

 NEWCUST5

 

f:id:ThisIsOne:20211111182635p:plain

 

再度、同じクーポンを使おうとするとチェックされてしまって。

 

f:id:ThisIsOne:20211111182744p:plain

 

ちなみにPlace orderをクリックすると、やはりクレジットが十分でないようで。

 

f:id:ThisIsOne:20211111182835p:plain

 

適当なクーポンコードも当然チェックされて。

 

f:id:ThisIsOne:20211111183005p:plain

 

もうひとつのクーポンコードを入力すると併用して使えるようで。

 

f:id:ThisIsOne:20211111183527p:plain

 

これも2回は使えないようで。

 

f:id:ThisIsOne:20211111183604p:plain

 

リクエスト内容を見ても、改ざんできそうもなくリダイレクトされて。

 

f:id:ThisIsOne:20211111183759p:plain

 

f:id:ThisIsOne:20211111183835p:plain

 

そこで、クーポンコードを交互に入力してみると。

どうやら直前で入力したクーポンコードとしか検証していないようで。

すんなりと受け入れられて。

 

f:id:ThisIsOne:20211111184002p:plain

 

金額が0となったところで、Place orderしてみると。

 

f:id:ThisIsOne:20211111184116p:plain

 

無料で決済されて。

 

f:id:ThisIsOne:20211111184145p:plain


Best regards, (^^ゞ