sábado, 25 de agosto de 2018

2 entradas de cine por 1 euro gracias a un fallo de seguridad en la web de compra de entradas.

Para descansar del trabajo, lo mejor es llegar a casa, abrir mi Kali Linux e investigar en alguna que otra web por si encuentro algún fallo de seguridad. Pero de vez en cuando mi pareja me dice de salir a cualquier sitio como al cine, por lo que me dirigo a la web del cine al que vamos a ir y compro las entradas por Internet, pero claro, si te gusta la seguridad, no te limitas a comprar las entradas y ya.


Era un miércoles, por lo que las entradas estaban a 5€. Era nuestra oportunidad, pero claro, si te gusta la seguridad, cuando ves una web siempre te pica la curiosidad de ir un poco más allá.



Tiré de Burp Suites para analizar cómo se comporaba la web. Lo primero que vi es que hacían una consulta a Youtube para mostrar un trailer, pero como veis, estaba consultando la cartelera para Hotel Transilvania.


Obviamente yo estaba mirando cines en Málaga, ya que es donde estoy viviendo hoy en día.


La parte más interesante es cuando salía el "AmountsCents" donde nos indica ese 570, que hace referencia a 5.70€, ya que para la prueba lo hice con solamente una entrada.

Lo curioso es que si ahí cambiamos el valor a 100 por ejemplo, estaremos diciendo que el "AmountsofCents" sea 100, es decir, 1€. Daremos en Fordward para pasar al siguiente paquete y esa cantidad se enviará, por lo que realizaríamos un pago de 1€ en lugar de 5.70€.


Y llegamos al paquete donde se nos manda a la web del pago, algo que no debería pasar nunca. 

Lo que pasa aquí es la web entiende que se están recibiendo 5.70€ cuando en realidad se está recibiendo 1€, por lo que solamente e darían cuenta a la hor de hacer el recuento de la caja.

Mientras tanto, si nos fuésemos a la web, veríamos cómo nos carga la web para realizar el pago. Pagaríamos 1€, que es lo que hicimos, nos salieron las 2 entradas por 1€.

En cuanto lo conseguí, escribí una correo al cine y esa misma tarde, fui a la taquilla para decir que me habían cobrado menos y pagué la totalidad de las entradas. Creo que la web del cine ha solucionado ya el error, pero siempre se pueden encontrar otros fallos, sólo hay que investigar.

¿Hackeamos el Mundo?

No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...