Como eu hackeei o exame IELTS DE GRAÇA

Bom dia pessoal! Este é Anudeep Vysyaraju , com um novo artigo sobre como contornei o gateway de pagamento do site IELTS IDP e fiz meu pagamento com sucesso sem pagar um único centavo. Também sinto muito por deletar meu último artigo, chega de deleções e vamos hackear juntos!!

Vamos começar…

Algumas linhas sobre o Gateway de Pagamento:
Quando compramos algo online, a última parte será a conclusão do pagamento. Os sites usam vários métodos para fazer isso, como você pode ter visto algumas empresas como Payu, Cashfree, Paytm, Razorpay, etc., serviços durante o processo.

Vamos entrar em cena!!

Muitos dos meus amigos estão indo para o MS, então as primeiras 2 palavras que ouvi de suas bocas foram IELTS e GRE Então eu ensinei que deveria tentar e abri o site do IELTS. Depois de verificar o site do IELTS, tive a ideia de verificar se havia vulnerabilidades nesses sites.

Foi assim que minha busca por vulnerabilidades neste site começou

Vamos passar para o Bypass de pagamento:
Então, rapidamente acionei o burp e comecei a interceptar as solicitações, então notei que o site estava usando o Payu como gateway de pagamento. Primeiramente tentei adulterar o parâmetro no valor do preço, mas nada deu certo pois estava tendo uma validação de checksum no final. Mas quando notei as solicitações e respostas durante o processo, observei alguns parâmetros falsos como “cancelar”, “falha” e “iniciado”. Então, rapidamente comecei a alterar esses parâmetros falsos para parâmetros positivos.

Por alterar esses parâmetros falsos para parâmetros positivos, cancelei a transação,

Após cancelar a transação, a solicitação ficará assim

Aqui mudei “cancelar” para “sucesso”

Agora encaminhei a solicitação manipulada para o servidor e recebi isso….

Na imagem acima, podemos ver os parâmetros chamados “status=pending” e “unmappedstatus=initiated” , esses são os parâmetros falsos agora eu os alterei para “status=success” e “unmappedstatus=captured”

Agora você pode observar os parâmetros manipulados na figura abaixo.

Após a manipulação dos parâmetros, envie esta solicitação ao servidor. Agora você verá a solicitação de confirmação.

Fiquei sabendo que o reconhecimento significa que o servidor aceitou o pagamento

Agora encaminhe esta solicitação de confirmação para o servidor e, finalmente, aqui está……

Bum!! Finalmente, o horário do exame foi reservado

Mais uma vez, a vulnerabilidade foi relatada ao IELTS IDP e ao British Council, mas não houve resposta de nenhum deles.

Antes de alguns dias, verifiquei a mesma vulnerabilidade se foi corrigida ou não, então fiquei sabendo que a vulnerabilidade foi corrigida pela equipe IELTS IDP.

Portanto, sem reconhecimento, sem recompensa e sem apreciação, e este artigo é compartilhado apenas para fins de transferência de conhecimento.

Agradecimentos especiais também a Mayur Parmar , Hemant Patidar , Tarun Tandon e Pavan Kumar Chinta

Espero que você tenha gostado deste artigo e tenha ganhado algo bom. Visite meu perfil para dúvidas e orientações me mande um ping no Linkedin .

Obrigado e tchau… Happy hacking‍