你不曾见过的利用Burp宏刷钱思路

杳若   ·   发表于 2023-07-31 22:37:06   ·   CTF&WP专版

无限金钱逻辑缺陷

该实验室的采购工作流程存在逻辑缺陷。要解决实验室问题,请利用此缺陷购买“轻量级l33t皮夹克”。
您可以使用以下凭据登录到自己的帐户:wiener:peter


底部注册邮箱赠送了一张优惠券 SIGNUP30


发现了10元礼品券,现在只需要7元就可以购买,购买获得 code WbweUD8zAH


使用code购买10元商品变成了7元,买完商品之后我们还有93元。
之后重置(退款)使得账户上有了103元,发现该-30优惠券是可以无限使用的
为了完成这些步骤,我们需要创建对应的宏


选择包含所有URL


转到详细信息,添加宏


选择5个分别是
1 添加卡片到购物车 2 使用折扣卡 3完成购买 4获取购买后的code 5使用code


其中第四个是一直变动的,要获取其参数


在参数名称修改成gift-card


接下来设置第五个填写的参数来源为第四个中的


使用测试宏,发现一套流程成功


任意找个值进行枚举,每次枚举代表着进行了一次宏


接下来就+3+3的速度在缓慢提升,等到了一定时候就够钱买了

用户名金币积分时间理由
Track-魔方 800.00 0 2023-08-02 11:11:11 深度 300 普适 300 可读 100 稀缺 100

打赏我,让我更有动力~

1 条回复   |  直到 2023-8-2 | 574 次浏览

山屿云
发表于 2023-8-2

1

评论列表

  • 加载数据中...

编写评论内容
登录后才可发表内容
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.