Scanner Otomatis Tidak Cukup
untuk Menilai Manipulasi Saldo.
Mengapa keputusan finansial, harga, benefit, dan ledger membutuhkan pengujian manual sampai ke state server—bukan sekadar laporan dari tool.
Mekanisme berasal dari pengujian bounty terotorisasi dan analisis cart milik peneliti. Identitas target dan artefak sensitif dihapus. Risiko manipulasi harga atau double-spending dibahas sebagai kelas risiko, bukan dampak yang diklaim terjadi pada studi kasus.
Scanner otomatis seperti satpam yang memastikan pintu depan terkunci. Auditor manual juga bertanya apakah jendela lantai dua dapat dicapai lewat pipa, apakah kartu akses lama masih aktif, dan apakah kasir menerima harga yang dihitung pelanggan.
Apa yang scanner lakukan dengan baik?
Scanner efektif untuk pola yang dapat dikenali berulang: versi software lama, konfigurasi TLS, header, endpoint umum, dan beberapa bentuk injection. Itu penting, tetapi tool tidak memahami mengapa satu akun boleh mendapat diskon, kapan kredit boleh diterbitkan, atau siapa yang berhak mengubah invoice.
Di mana business logic bersembunyi?
Celah logika muncul pada keputusan: urutan state, hubungan parent-child, kepemilikan objek, batas jumlah, penggunaan ulang voucher, pembatalan, refund, atau perbedaan antara nilai dari client dan nilai yang dihitung server.
Status sukses bukan bukti manfaat finansial. Sumber kebenaran adalah saldo efektif, ledger, transaksi, entitlement, dan kemampuan menggunakan benefit.
Pelajaran dari eksperimen saldo
Sebuah API menerima field finansial tambahan dan mengembalikan HTTP 200. Klaim “pengguna dapat menambah saldo” tampak meyakinkan. Namun authoritative readback menunjukkan saldo, utang, diskon, benefit, dan ledger tetap pada baseline. Server mengabaikan field sensitif.
field finansial dikirim → HTTP 200
saldo efektif dibaca ulang → TIDAK BERUBAH
ledger diperiksa → TIDAK BERTAMBAH
benefit diuji → TIDAK ADANilai audit manual bukan hanya menemukan kerentanan. Auditor juga mencegah perusahaan membayar remediasi untuk false positive yang tidak pernah melewati boundary bisnis.
Pelajaran segar dari batas jumlah cart
Pada analisis lain, pilihan jumlah di atas batas langsung kembali ke nilai awal dan tidak mengirim request baru ke server. Itu membuktikan client-side stop, bukan server enforcement. Tanpa Replay terhadap request asli dan pembacaan ulang basket, klaim bypass atau perlindungan server sama-sama belum terbukti.
Risiko jika kontrol bisnis benar-benar gagal
- manipulasi harga atau kuantitas;
- penggunaan benefit berulang atau double-spending;
- kredit tanpa sumber transaksi sah;
- refund atau pembatalan pada state yang tidak semestinya;
- arus kas, margin, dan rekonsiliasi yang terganggu.
Apa yang kami verifikasi?
Kesimpulan
Scanner adalah baseline yang berguna. Namun pengujian manual diperlukan ketika risiko bergantung pada keputusan bisnis. Tujuannya bukan menghasilkan temuan sebanyak mungkin, melainkan membuktikan mana yang benar-benar mengubah uang, data, privilege, atau lifecycle.