نظام الولاء أو كيفية العيش مجانًا

يوم جيد ، هابروفسك. فيما يتعلق بالذعر الكبير من المقالة الأخيرة ، أقدم لك النسخة الثانية. كل شيء بسيط بدون مخاط. نظام الولاء هو حفرة واحدة كبيرة. بعد بعض التجارب ، توصلنا إلى استنتاج مفاده أن عددًا كبيرًا من المواقع التي يتم استخدام مثل هذا النظام خالية تمامًا من المنطق عند محاولة استخدامه.


بالطبع ، كان شخص ما قادرًا على تنفيذ حماية بسيطة على الأقل ، ولكن شخصًا ما يتخيل الإنترنت في هذا الشكل:



بشكل عام ، تحدث العديد من هجمات القراصنة في هذا الشكل تقريبًا. فقط في الأفلام سيعرضون لك مجموعة من أدوات المستقبل ، التي لا معنى لها في الوقت الحاضر.

دعنا نبدأ العمل. على سبيل المثال ، سآخذ بعض الأنظمة حيث يمكن أن يكون هناك كارز جماعي.

لنبدأ بـ OBI .

سأقول على الفور أنه لم يدرس لي الكثير. تضعني قواعدهم الغامضة حول استخدام المكافآت في شكوك مختلفة. أولاً ، لديهم العديد من برامج المكافآت. بالنسبة لأحدهم ، يمكنك الدفع فقط في ثلاث مدن في روسيا ، من أجل الأخرى - في الكل. في الوقت نفسه ، لا تنطبق المكافآت على الجميع ، ولكن فقط حتى 50٪ من قيمة البضائع. لكن بناء منزل بنصف السعر أمر جيد بالفعل.

بشكل عام ، لدى OBI أيضًا تطبيق حيث يمكنك تسجيل الدخول إلى بطاقتنا والدفع من خلال إنشاء رمز شريطي.

انتقل إلى صفحة التسجيل بلمسة خفيفة من عصا سحرية:


نصل إلى نموذج التسجيل ليس بطاقتنا:


حسنًا ، املأه. بالمناسبة ، نظام حساب البطاقات هنا هو نفسه الموجود في "مفترق الطرق". من أجل توضيح - خوارزمية القمر . ملأت جميع البيانات ، وأشار إلى رقم بطاقة عشوائي. في هذه العملية ، تلقيت طلب تسجيل من خلال الشم.
كررها عدة مئات من المرات في دورة. لم تكن هناك أخطاء. تعامل الموقع مع طلبي بكفاءة عالية وأعاد استجابة في json:

"data":{"registration":null},"errors":[{"message":"\u041e\u0448\u0438\u0431\u043a\u0430 \u043f\u0440\u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u0444\u043e\u0440\u043c\u044b.","type":"validation","locations":{"path":"\/work\/obiclub.ru\/app\/GraphQL\/Mutation\/Frontend\/RegistrationMutation.php","line":109},"safe":true,"validation":{"cardnum":["\u041d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043d\u043e\u043c\u0435\u0440 \u043a\u0430\u0440\u0442\u044b. \u041f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445."]}}]}

في الكاردوم المتغير كان النص التالي ، والذي تمت ترجمته من اليونانية Unicode -

"رقم بطاقة خاطئ. تحقق من صحة البيانات المدخلة »

من المثير للاهتمام أنه بالنسبة لجميع طلبي من عنوان IP واحد لم يكن هناك حظر. علاوة على ذلك ، تعيش الجلسة فترة طويلة جدًا. راجعت بعد يوم - كان الجواب. يمكن على الأقل إعادة تعيين ملفات تعريف الارتباط ، وإدخال كلمة التحقق ، ثم "Facepalm" صلب. كتابة البرامج ليست صعبة ، إلا أنها ستقع تحت
المملكة المتحدة. RF المادة 273 وهذا أمر خطير بالفعل!

حسنًا ، بنينا منزلاً. يجب أن نعيد تزويد سيارتنا بالوقود ونركب المدينة. يمكنني إعطاء مثال هنا مع محطات الوقود الأكثر شعبية ، ولكن في ضوء بعض الاعتبارات لن أفعل ذلك. لكل شخص نظام واحد ، لكن النهج الذي يتبعه مختلف ، لذلك سأوضحه في أبسط محطة وقود غير معروفة.

AZS-ETALON.RU . جذبت انتباهي بما هو موجود في مدينتي. مبدأ التشغيل مشابه - هناك بطاقة ولاء ؛ هناك موقع نسجل فيه بطاقة ؛ هناك تطبيق من خلال التفويض الذي يمكنك الدفع عند الخروج. حسنًا ، إنه مضحك بشكل عام.

انتقل إلى نموذج تسجيل البطاقة - lk.azs-etalon.ru/registration.php


املأ أي بيانات ، انقر فوق "هاك" "تسجيل". نحصل على الجواب

"رقم البطاقة غير صالح"

مما يعني أننا سندخل الرقم التالي في الحساب وما إلى ذلك حتى نجد وقودًا مجانيًا لصديقنا رباعي العجلات.

- أتمتة؟
- سهل.

نلتقط الحزمة للتسجيل. نحصل على ما يلي

رؤوس HTTP:


ما بعد البيانات:

نقوم بإحضارها إلى شكل مناسب ، ونقوم بتعديلها إلى CURL ، ونطرقها في حلقة ونضعها في تيار. سيصدر الموقع:

"RќµІµЂЅ‹ № ЅѕјµЂ є ° Ђ‚ ‹"

التي ترجمت من CP1251 الألمانية -

"رقم البطاقة غير صالح"

وضعنا الشرط لظهور إجابة أخرى والعثور على "طنين" . أبسط بروتوس جاهز.

لا يوجد اختبار CAPTCHA ، حظر IP لعدد كبير من الطلبات - لا ، ليس هناك حتى فحص أولي لإدخال البيانات من العميل. حسنًا. وهكذا تسير الأمور.

دعونا نذهب من خلال وحش آخر. إنها أكبر بكثير من غيرها ، لكنها لا تزال ضعيفة.

الشريط ... فقط - الشريط

انتقل إلى getetepes lk.lenta.com/authentication/login/activate-card:


نفترض أن هذه البطاقة كانت صالحة سابقًا ولم يتم تفعيلها. نحن مطالبون بإدخال رقم هاتف



حسنًا ، أدخل هاتفك المحمول ، ثم بقية البيانات ، بما في ذلك كلمة المرور. هذا كل شيء ، نحن في الحساب الشخصي.

هنا ، كما كان ، كل شيء مشابه للأنظمة السابقة. من المهم فقط التقاط الطلبات اللازمة ، ثم تكرارها بالتسلسل المطلوب.

ولكن تجريبيا ، تم العثور على بعض الضعف السيئ. عند إدخال رمز التحقق الخاطئ - ماذا حدث؟ لا شيء ، لم يسمحوا لنا بالدخول إلى LC. هذا منطقي ، يا رفاق.


ولكن تم تجريبياً التحقق مما يلي! تم تسجيل طلبات تأكيد الكود ، حيث كانت جميع المعلمات واضحة:

{"الرمز": "12345667890"، "card": "800011999193"، "phone": "91234567789"}

لن أمضغ كيف استغللت هذه الثغرة ، لكني سأخبرك باختصار. باستخدامه ، يمكنك ببساطة حذف الرمز وسندخل دائمًا إلى حساب المستخدم دون تأكيد الرقم. وهذا يعني أنه يمكننا الإشارة إلى أي رقم!

( أحاول حاليًا الاتصال بدعم TAPE )

لماذا كل هذا؟ دعونا نقيم.

هناك الكثير من الخدمات بنظام الولاء. يمكنك البحث عنها إلى ما لا نهاية والنقاط "الغاشمة". إذا قلت لك ، ما هو الممكن أن تطير طائرة لهذه النقاط؟

تمتلك Aeroflot و S7 أيضًا نظام مكافآت. النقاط هي أميال. يمكننا كسبها ، على سبيل المثال ، من الشركاء. بالمناسبة ، تمتلك شركة طيران إيروفلوت حوالي 2000 منهم. بما في ذلك ، جميع محلات السوبر ماركت تقريبًا ، بما في ذلك مجموعة التجزئة X5 سيئة السمعة لدينا. يمكنك استبدال النقاط بالأميال مباشرة في LC لنفس مفترق الطرق. حسنًا ، وهكذا في جميع الخدمات الأخرى تقريبًا. بالمناسبة ، تم تسجيل حقيقة سرقة الأميال لشركات الطيران رسميًا. حالة رفيعة المستوى ، لا تخلو من التضحية.

نتيجة لذلك ، كل شيء ليس بهذه البساطة كما يبدو. هناك أناس يعيشون خارج هذه النقاط. حسنًا ، إذا كانت هذه الكرات مملوكة لك رسميًا ، فإن شخصًا ما يجلس على رقبتك. يمكن أن يأكل Kulkhackers ، ويرتدي ملابس ، وركوب سيارة ، ويطير حول المدن ، والمزيد مجانًا.

ملاحظة: شكرا لحقيقة أن العديد من ضباط الأمن من X5 اتصلوا بي على الفور. كان هناك نقاش مع أحدهم حول "نقاطه - العملاء أم مفترق الطرق" أكثر من قضية أمن النظام. لكني أعتقد أنهم سيصلحون كل شيء ، لأن مجلس الأمن بأكمله على علم بالفعل. على الفور. يجب أن يشيدوا. الشيء الرئيسي هو أن تتحسن.

حسنا ، هنا لديك مسح.