Logical Error adalah bug anti mainstream dimana mempunyai cara eksploitasi yang berbeda antara satu aplikasi dengan aplikasi lainnya,, Bug ini sering terjadi pada platform besar dimana ada kesalahan dalam menerapkan proses pada sistem kerja aplikasi tersebut. Pada beberapa waktu lalu saya menemukan bug dimana saya dapat menambahkan balance sampai tidak terhingga pada akun saya. Sebenarnya saya tau ada checking baground proses pada aplikasi ini namun jika lalu lintas widraw sangat tinggi saya rasa sangat mungkin untuk admin kecolongan pada saat baground proses checking.. namun sayangnya tinggkat widraw pada aplikasi ini sangat rendah sehingga jika ada anomali pada akun tersebut admin pasti melakukan banned account. Oke karna waktu saya terbatas kita langsung saja pada topic.
Reconnaissance
Saya melakukan Mapping Web Logic Flow dengan membuat flowchart pada aplikasi power point untuk menemukan kesalahan logika pada aplikasi ini.. Tapi darimana saya tau aplikasi ini bakalan ada bug??? Beberapa waktu lalu saya membaca tulisan dari mas YoKhoko.. disitu saya mendapatkan pelajaran dimana ketika anda melakukan bug bounty, anda harus mencoba bahkan dari kemungkinan terkecil yang bisa terjadi. Jadi melihat fitur balance salah satu yang terpikir dibenak saya adalah memanipulasi saldo cashback. Oleh karena itu saya mencoba menganalisa alur dari aplikasi ini
Semua alur yang saya buat disini hanyalah berdasarkan analisa saya bukan benar-benar dipakai oleh aplikasi
1.Ketika membeli boneka saya menyimpulkan alur aplikasi tersebut seperti ini
4.Ketika membeli 2 barang dan melakukan cancel orderan pada salah satu barang (Bukan +3 ya itu -3 harusnya.. Salah tulis)
Dari sini harusnya kalian sudah tau kesalahan dari aplikasi tersebut.. Yaps.. Number invoice dan name of object dibuat secara terpisah.
Exploitasi
Saya melakukan order baju dan boneka kemudian melakukan cancel 2 kali pada baju menggunakan repeater pada burpsuite. Sehingga Alur yang terjadi seperti berikut.
Saya bisa saja memanipulasi sampai ratusan dollar, namun segala illegal activity pasti ada resikonya. apalagi dilakukan pada traffic rendah, pasti akan ketahuan.. sebaiknya jika anda menemukan bug yang sama, jangan pernah berfikiran untuk aneh-aneh sebelum kalian menyesal