Invio dei dettagli dell'ordine nei campi di input nascosti?

1

Sto sviluppando estensioni di pagamento per più piattaforme di eCommerce basate su php per una società che ha un proprio processore di pagamento (si limita a richiedere post, fa un paio di assegni e lo processa verso un vero gateway di pagamento).

Il loro meccanismo è semplice e semplice (e rischioso, suppongo). Vogliono che sviluppi estensioni che, alla fine, effettuino una chiamata al loro processore di pagamento in questo modo:

<form method="post" action="https://pp.payment-processor-xyz.com">
<input name="order-amount" type="hidden" value="90.00" />
<input name="order-id" type="hidden" value="1" />
<input name="user-email" type="hidden" value="[email protected]" />
....
....

Come posso dire loro (o dimostrare, forse) che questo è rischioso e che questo è facilmente intercettabile da un cliente e alterato?

PS: il loro processore non ha accesso all'inventario del carrello del commerciante, questo è il lavoro del plugin.

    
posta keaton016 16.12.2018 - 08:52
fonte

2 risposte

0

Osservando i dettagli forniti. Gli attacchi logici possono essere condotti utilizzando Burpsuite o qualsiasi altro proxy. L'importo dell'ordine può essere modificato su qualsiasi valore arbitrario.

P.s: - informazioni insufficienti sull'elaborazione e sui controlli lato server.

    
risposta data 16.12.2018 - 11:43
fonte
-1

È molto ben possibile l'utilizzo di intercettatori come burpsuite per modificare i valori.

Potrebbe essere possibile assegnare numeri ID o tag a ciascun prodotto e quindi eseguire una richiesta basata su post che quindi assocerà l'id al valore assegnato nel back-end del server eliminando così la possibilità di eventuali hack.

    
risposta data 16.12.2018 - 14:17
fonte

Leggi altre domande sui tag