Jacobo-RedCoop

Auditamos una tienda online en la que conseguimos comprar un producto de 1.300 € por menos de lo que cuesta un café. Y no hacía falta ningún exploit. Bastaba con cambiar un número. Hace un tiempo hicimos un pentest en un e-commerce con miles de pedidos al mes. Lo primero que hicimos fue lo mismo que haría cualquier atacante: comprar como un cliente normal y mirar qué viajaba en cada petición. Al añadir un producto al carrito, la web enviaba esto al servidor: price=130000 El precio. Desde el navegador. Lo cambiamos a 10, lo enviamos y el producto apareció en el carrito por 10 céntimos. El checkout lo aceptó sin rechistar. El cliente lo corrigió y nos pidió que lo volviéramos a revisar. Ahora el precio lo calculaba el servidor. Pero la cantidad no la validaba nadie. Pusimos quantity=-1 y el carrito lo aceptó. El total bajaba. La tienda solo comprobaba una cosa: que el total final no fuera negativo. Así que añadimos el producto caro y, después, artículos baratos en cantidades negativas hasta dejar el total en unos pocos euros. Pedido completado. ¿Y cómo llega algo así a producción? El frontend no deja escribir un precio ni una cantidad negativa. Y todo el mundo dio por hecho que eso bastaba. Esto tiene nombre: confianza excesiva en el cliente. Todo lo que sale del navegador se puede modificar. Si tienes una tienda online, haz esta prueba hoy: ➡️ Abre las herramientas de desarrollador (F12), pestaña Red, y añade un producto al carrito. Si en la petición aparece el precio, tienes un problema. ➡️ En tu entorno de pruebas, cambia la cantidad a -1, 0 y 99999. Si alguno entra en el carrito, el servidor no la está validando. ➡️ Comprueba que el total del checkout se recalcula en el servidor con los precios de tu base de datos, no con lo que llega del carrito. ¿Cuántos habéis mirado alguna vez qué envía vuestro carrito?