不問原因
委託單位: Keyrack,一間以預付帳戶形式供應軟體授權給中小企業的經銷商。 委託項目: Keyrack 客戶入口網站的黑箱滲透測試。
測試範圍
範圍內:本次來源(origin)底下的 Keyrack 應用程式,以及它對外開放的每一個 HTTP 端點。
Keyrack 為本次委託配發給你一組客戶帳號——帳號 r.solberg,密碼 Purch2026!。這是一個普通的交易帳戶,帶著 £50.00 的額度,也是你手上唯一的 憑證。
範圍外:承載平台、其他委託案,以及阻斷服務。
交戰規則
這是一次獲得授權的演練,標的系統由 Keyrack 自行掌控。達成目標後即停手—— Keyrack 買的是「確實造成影響」的證明,不是破壞。你所做的任何更動,請限縮在 達成目標所必需的範圍內,並待在上述範圍中。
本次委託 Keyrack 沒有提供應用程式的原始碼。請以系統實際的回應為依據。
限制條件
Keyrack 買的不是帳戶隔離稽核。其他客戶的帳號與他們的訂單都在範圍外,以此為 基礎的成果不予採認。這也不是密碼強度稽核:猜測、噴灑與暴力破解憑證同樣在範圍 外。Keyrack 要的那個發現,是你自己這個帳號憑一己之力就能碰到的。
委託目標
Keyrack 對客戶宣稱的,首先是這一件事。一個帳號握有的,就恰好是 Keyrack 配給 它的那筆額度,沒有任何客戶能替自己加值。入口網站上的每一條路徑,不是花掉那筆 額度,就是把它已經拿走的還回來。
這句話 Keyrack 從來沒有拿去驗證過。
請推翻它:從上面那個帳號出發,取得標價 £9,999.00 的 Keyrack Enterprise 授權——一筆你手上 £50.00 的額度連邊都構不到的訂單——並取回該筆訂單所核發的 授權金鑰。那把金鑰就是 Keyrack 認可的影響證明。請在下方送出,結案。
交付項目
Keyrack 要的不只是結果,還有你怎麼走到那一步的紀錄。請把每一個推進測試的請求 記在筆記面板裡,結束時匯出整份 session。