Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

Kerentanan

[PASS] Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

Deskripsi

Diuji apakah alur bisnis sensitif (klaim kupon untuk menambah saldo) dapat disalahgunakan dengan mengklaim kupon yang sama berulang kali (replay).

Dampak

Tidak ada dampak: server menolak klaim kedua atas kupon yang sama (already claimed); alur bisnis dibatasi per user.

CWE

CWE-837: Improper Enforcement of a Single, Unique Action (diuji, tidak rentan)

OWASP

API6:2023 - Unrestricted Access to Sensitive Business Flows (diuji negatif)

Skenario

Normal: klaim kupon pertama berhasil (saldo +75). Eksploitasi: replay kupon sama -> ditolak (already claimed). PASS (kontrol berjalan).

Endpoint

POST http://127.0.0.1:8888/workshop/api/shop/apply_coupon

Fitur terdampak

Klaim Kupon / Saldo (crapi-workshop)

Rekomendasi perbaikan

Pertahankan pembatasan klaim kupon per user (kondisi saat ini sudah benar).

Bukti konsep

1. (Screenshot 1) NORMAL: apply_coupon TRAC075 pertama kali -> berhasil, saldo bertambah.
2. (Screenshot 2) EKSPLOITASI: apply_coupon TRAC075 lagi -> ditolak 'already claimed' (kontrol berjalan).

Rekaman lengkap

LAB Semua target adalah sistem lab. Tidak ada satu pun yang merupakan pekerjaan klien. Bukti ditampilkan apa adanya; secret dihitamkan.

Normal: klaim kupon pertama

Alur normal: akun berhasil mengklaim kupon TRAC075 untuk pertama kali dan saldo bertambah.

HTTP request

POST /workshop/api/shop/apply_coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"TRAC075","amount":75}

HTTP response

HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 57

{
  "credit": 175.0,
  "message": "Coupon successfully applied!"
}

Hasil: klaim kupon kedua ditolak (PASS)

Hasil (PASS): klaim kedua atas kupon yang sama ditolak (already claimed). Batas klaim per pengguna berjalan pada pengujian ini; tidak ada dampak yang teramati pada kerahasiaan, integritas, atau ketersediaan.

HTTP request

POST /workshop/api/shop/apply_coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"TRAC075","amount":75}

HTTP response

HTTP/1.1 400 Bad Request
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 97

{
  "message": "TRAC075 Coupon code is already claimed by you!! Please try with another coupon code"
}

← Kasus sebelumnya: Unauthenticated Order Access - Shop - Order Details Kasus berikutnya: Unrestricted Resource Consumption - Authentication - Login Rate Limiting →