Muhammad FaqihKeamanan aplikasi · Pengujian penetrasi
Skenario 19 / 19PASS

Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

Lingkungan lab — bukan sistem produksi

Tangkapan layar dan trafik mentah tidak diterjemahkan; teks di dalamnya mungkin menggunakan bahasa lain.

crAPI/Evidence/[PASS] Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

01 — Catatan

Catatan pengujian

Kerentanan

[PASS] Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

Deskripsi

Diuji apakah alur bisnis sensitif (klaim kupon untuk menambah saldo) dapat disalahgunakan dengan mengklaim kupon yang sama berulang kali (replay).

Dampak

Tidak ada dampak: server menolak klaim kedua atas kupon yang sama (already claimed); alur bisnis dibatasi per user.

CWE

CWE-837: Improper Enforcement of a Single, Unique Action (diuji, tidak rentan)

OWASP

API6:2023 - Unrestricted Access to Sensitive Business Flows (diuji negatif)

Skenario

Normal: klaim kupon pertama berhasil (saldo +75). Eksploitasi: replay kupon sama -> ditolak (already claimed). PASS (kontrol berjalan).

Endpoint

POST http://127.0.0.1:8888/workshop/api/shop/apply_coupon

Fitur terdampak

Klaim Kupon / Saldo (crapi-workshop)

Rekomendasi perbaikan

Pertahankan pembatasan klaim kupon per user (kondisi saat ini sudah benar).

Bukti konsep

1) (Screenshot 1) NORMAL: apply_coupon TRAC075 pertama kali -> berhasil, saldo bertambah. 2) (Screenshot 2) EKSPLOITASI: apply_coupon TRAC075 lagi -> ditolak 'already claimed' (kontrol berjalan).
Lihat catatan sumber (bahasa Indonesia)
Vulnerability: [PASS] Unrestricted Access to Sensitive Business Flow - Shop - Coupon Claim

Description:
Diuji apakah alur bisnis sensitif (klaim kupon untuk menambah saldo) dapat disalahgunakan dengan mengklaim kupon yang sama berulang kali (replay).

Impact:
Tidak ada dampak: server menolak klaim kedua atas kupon yang sama (already claimed); alur bisnis dibatasi per user.

CWE:
CWE-837: Improper Enforcement of a Single, Unique Action (diuji, tidak rentan)

OWASP:
API6:2023 - Unrestricted Access to Sensitive Business Flows (diuji negatif)

Scenario:
Normal: klaim kupon pertama berhasil (saldo +75). Eksploitasi: replay kupon sama -> ditolak (already claimed). PASS (kontrol berjalan).

Endpoint:
POST http://127.0.0.1:8888/workshop/api/shop/apply_coupon

Affected Feature:
Klaim Kupon / Saldo (crapi-workshop)

Remediation:
Pertahankan pembatasan klaim kupon per user (kondisi saat ini sudah benar).

POC:
1) (Screenshot 1) NORMAL: apply_coupon TRAC075 pertama kali -> berhasil, saldo bertambah.
2) (Screenshot 2) EKSPLOITASI: apply_coupon TRAC075 lagi -> ditolak 'already claimed' (kontrol berjalan).

02 — Tangkapan layar

Tangkapan layar (2)

01 / Normal: klaim kupon pertama

Alur normal: akun berhasil mengklaim kupon TRAC075 untuk pertama kali dan saldo bertambah.

02 / Hasil: klaim kupon kedua ditolak (PASS)

Hasil (PASS): klaim kedua atas kupon yang sama ditolak (already claimed). Batas klaim per pengguna berjalan pada pengujian ini; tidak ada dampak yang teramati pada kerahasiaan, integritas, atau ketersediaan.

03 — Request dan response

Rekaman HTTP

Sebagian nilai kredensial disamarkan pada tampilan HTML publik ini. Penyamaran ini tidak menjamin bahwa seluruh data sensitif atau berkas tertaut sudah disamarkan.

REKAMAN 01 / 1Normal: klaim kupon pertama
HTTP request
POST /workshop/api/shop/apply_coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"TRAC075","amount":75}
HTTP response
HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 57

{
  "credit": 175.0,
  "message": "Coupon successfully applied!"
}

Alur normal: akun berhasil mengklaim kupon TRAC075 untuk pertama kali dan saldo bertambah.

REKAMAN 02 / 2Hasil: klaim kupon kedua ditolak (PASS)
HTTP request
POST /workshop/api/shop/apply_coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"TRAC075","amount":75}
HTTP response
HTTP/1.1 400 Bad Request
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 97

{
  "message": "TRAC075 Coupon code is already claimed by you!! Please try with another coupon code"
}

Hasil (PASS): klaim kedua atas kupon yang sama ditolak (already claimed). Batas klaim per pengguna berjalan pada pengujian ini; tidak ada dampak yang teramati pada kerahasiaan, integritas, atau ketersediaan.