Ошибки бизнес-логики: манипуляции с последовательностью действий 🛁

Многие приложения рассчитывают на ожидаемую последовательность шагов — например, многошаговый процесс оформления заказа или подтверждение операций.

Фронт обычно отдает страницы в определённом порядке, но при перехвате трафика с помощью прокси ты можешь изменять порядок запросов, отправлять их в неожиданных комбинациях и пытаться ввести сервер в состояние, которое он не ожидает.

Такие кейсы часто не покрыты тестами — в лучшем случае это приведёт к странному поведению, в худшем — к уязвимости. Вот несколько способов нарушить порядок:

1️⃣ Пропусти шаги вперед: попробуй обойти проверки и перейти в «будущее» состояние — например, совершив последовательность один раз, на следующую попытку обращаться только к шагам, которые ожидались на первом проходе.

2️⃣ Вернись назад: после выполнения шага попробуй запросить уже завершённый шаг — это может запутать сервер и изменить ответ.

3️⃣ Повтори действия: отправка одного и того же запроса несколько раз может иметь эффект, похожий на возврат назад и привести к неконсистентности.