Order Cancellation OTP Not Bound to Order ID كيف قدرت آخذ مكافأة 3000$ بعد ما دفعت 5$ فقط؟ في البداية دخلت زي أي احد يفحص أدور تسجيل دخول، تسجيل جديد، أي نقطة بداية. لكن الموقع كان مقفّل بشكل غير طبيعي، لا تسجيل ولا إنشاء حساب. لقيت كم IDOR لمستخدمين رافعين طلبات ، لكن للأسف كانت Duplicate. قلت ما عليه، ما راح أوقف وكملت أبحث أسبوعين كاملة وأنا أنبش، فيه أشياء بسيطة، بس ولا شيء يوصل لـ High أو Critical. بعدها لاحظت شيء مختلف. الموقع ما يسمح لك تسجل، لكن يسمح لك ترفع طلب. ترفع الطلب وتدخل: •اسمك •بريدك •وتدفع 5$ هذه سياسة الشركة قلت: يالله مو خسارة، يمكن فيها خير دفعت 5$ ورفعت طلب بعدها رحت أشيّك على الطلب، وفجأة شفت خيار: Cancel Order قلت أوكي , بس واضح إن الـ 5$ ما ترجع. قلت خلني أجرب ألغي. أول ما ضغطت إلغاء، وصلني كود تحقق على الإيميل طبعغ اعترضت الطلب من حبيبنا واخونا الكبير اللي اخليه يشتغل مع ال بيسي قبل كل شي burp . والطلب كان فيه: •رقم الطلب •بريدي •كود التحقق هنا وقفت لحظة وقلت: طيب… الكود مرتبط بالبريد، لكن هل النظام يتأكد أن رقم الطلب يخص نفس البريد؟ جربت أغيّر رقم الطلب والصدمة؟ تم الإلغاء بنجاح فصار النظام يشيك هل ال otp يخص البريد الالكتروني اذا نعم يلغي اي طلب طبعا عشان اتاكد رحت لحبيبنا intruder وقلت له يخمن لي اخر اربع ارقام وفعلا اي رد كان يرد ب 200 كان يجي تم الالغاء والطلب الغير موجود كان رده 400 الفكره كانت ان النظام كان يتحقق من: •البريد •كود التحقق ❌ بدون أي تحقق من ملكية رقم الطلب وبكذا قدرت ألغي طلبات أي شخص دافع 5$، بشرط أعرف رقم الطلب فقط. الثغرة تم تقييمها Critical لأن: •فيها خسائر مالية مباشرة •الشركة زحمة جدًا •بعض الناس ينتظر شهور عشان يحصل موعد •إلغاء طلب واحد يعني يرجع لنقطة الصفر 5$ كانت مدخل والنتيجة كانت 3000$ مكافأة. العبرة؟ لا تستهين بأي Flow ولا تقول "خلصت الأفكار" هذا اول رايت اب خفيف لطيف راح يجيكم الدسم بالباقي باذن الله ❤️ ملاحظة: دائما وابدا وطول العمر الاختراق واكتشاف الثغرات ذكاء وفكر اكثر من انت ممكن تعرف اكبر عدد من الثغرات #bugbountysa