एटीएम अकेले छोड़ दें PHDays 8 पर प्रतियोगिता

पॉजिटिव हैक डेज 8 में, लीव एटीएम अलॉन्ग एटीएम को हैक करने की अच्छी पुरानी प्रतियोगिता एक बार फिर आयोजित की गई। प्रतिभागियों के निपटान में दो एटीएम थे, हार्डवेयर हमारे बैंकिंग सुरक्षा भागीदार अल्फा-बैंक द्वारा प्रदान किया गया था। विशेष रूप से प्रतियोगिता के लिए, हमने एटीएम स्थापित किए और उनमें कमजोरियां रखीं। 15 मिनट में सुरक्षात्मक उपकरण को बायपास करना और डिवाइस से पैसे निकालना आवश्यक था। पुरस्कार राशि 40 000 to की थी। लगभग 40 प्रतिभागी रक्षा को दरकिनार करने की कोशिश करने आए। पॉजिटिव टेक्नोलॉजीज के बैंकिंग सिस्टम सिक्योरिटी रिसर्च डिपार्टमेंट के कॉन्टेस्ट के विशेषज्ञ और विशेषज्ञ लियोनिड क्रोल ने बताया कि यह कैसा था और कार्यों का विस्तार से विश्लेषण किया।



एटीएम अकेले प्रतियोगियों को छोड़ दें

प्रतिभागियों के निपटान में दो एटीएम थे। उनमें से एक पर, हमारे भागीदारों से एप्लिकेशन नियंत्रण सॉफ़्टवेयर इंस्टॉल किया गया है, जो अविश्वसनीय अनुप्रयोगों के लॉन्च को रोकता है। यह आपको किसी भी एप्लिकेशन को चलाने की अनुमति नहीं देता है जिसे आपको नकद (हेल्लो, कटलेट मेकर, बबलमेकर और नेमागिया!) निकालने की आवश्यकता है।

दूसरा एटीएम प्रसंस्करण परीक्षण करने के लिए नेटवर्क के माध्यम से जुड़ा हुआ है, जो आपको नकद निकासी ऑपरेशन (जो एटीएम में उपलब्ध है) का संचालन करने की अनुमति देता है। हालांकि, प्रसंस्करण कैसेट से जारी करने के लिए एक संकेत भेजता है जिसमें कोई पैसा नहीं है। इसलिए, प्रतिभागियों का कार्य सही कैसेट से धन जारी करने के लिए प्रसंस्करण प्रतिक्रिया को प्रतिस्थापित करना है।

एटीएम और परीक्षण प्रसंस्करण से कनेक्शन केबल बाहर स्थित हैं, एक नेटवर्क केबल (LAN) का उपयोग करके उन्हें कनेक्ट करने की क्षमता के साथ।

खिलाड़ियों ने सिस्टम से निकाले गए सभी पैसे छीन लिए।



फोरम के दो दिनों में एटीएम: वे उदास और अकेले थे

अनुप्रयोग नियंत्रण

यह जांचने के कई तरीके हैं कि क्या कोई एप्लिकेशन किसी दिए गए श्वेतसूची से मेल खाता है - डिजिटल हस्ताक्षर और विस्तार का विश्लेषण करने के लिए निष्पादन योग्य फ़ाइल के पथ या उसके हैश से। अनुप्रयोग नियंत्रण उपकरण का उपयोग अक्सर क्लाइंट कंप्यूटर के लिए अतिरिक्त सुरक्षा प्रदान करने के लिए किया जाता है (वे सॉफ़्टवेयर की लॉन्चिंग को सफेद सूची से प्रतिबंधित नहीं करते हैं) और अलग-अलग प्रणालियों के लिए सुरक्षा प्रदान करते हैं, जैसे एटीएम, जो निरंतर परिचालन हस्तक्षेप का मतलब नहीं है।

यदि एक्सटेंशन के ब्लैकलिस्ट को अवरुद्ध किया जाना चाहिए, कम या ज्यादा सार्वभौमिक है, और इसे कॉन्फ़िगर करना आसान है, तो जो चलाने की अनुमति दी गई है उसकी सफेद सूची डिफ़ॉल्ट रूप से बेमानी है - इसमें अक्सर कॉन्फ़िगरेशन के समय ऑपरेटिंग सिस्टम के सभी एप्लिकेशन शामिल होते हैं।

पिछले कुछ वर्षों में, कई तरीकों को माइक्रोसॉफ्ट विंडोज टूल (उदाहरण के लिए, "rundll32", "regsvr32") का उपयोग करके बाईपास एप्लिकेशन कंट्रोल को वर्णित किया गया है, एक साधारण लॉक जो ओएस के सामान्य संचालन को बाधित करता है। इसलिए, आवेदन नियंत्रण को ठीक करना एक जटिल और श्रमसाध्य कार्य है, जिसका परिणाम फाड़ प्रतियोगिता के प्रतिभागियों को दिया गया था। ध्यान दें कि वास्तविक दुनिया में, हमलावरों के पास आवेदन नियंत्रण को बायपास करने के लिए इतना समय नहीं है।

प्रतियोगिता का पहला दिन

जीवन की सच्चाई :)

प्रतियोगिता के पहले दिन की शुरुआत मंच प्रतिभागियों की एक घनीभूत धारा द्वारा चिह्नित की गई थी जो आवेदन नियंत्रण को दरकिनार करने और प्रसंस्करण प्रतिक्रिया को बदलने में अपना हाथ आजमाने आए थे - कुल मिलाकर 40 से अधिक लोग।



पहले प्रतिभागी

कुल मिलाकर, एप्लिकेशन नियंत्रण के साथ एटीएम में सुरक्षा को बायपास करने के लिए 15 मिनट आवंटित किए गए थे: इस समय के दौरान, आपको अपना कोड चलाने का प्रबंधन करना था। दुर्भाग्य से, पहले दिन, प्रतिभागियों द्वारा अपने कारनामे को लॉन्च करने के सभी प्रयास विफल हो गए। हालांकि, एक प्रतिभागी एटीएम में एक अजीब उपकरण स्थापित करने में कामयाब रहा। यह एक स्किमर था - एक लघु पोर्टेबल रीडर जिसे एटीएम से जोड़ा जा सकता है। ऐसे डिवाइस धोखाधड़ी करने वालों को बैंक कार्ड डेटा चोरी करने में मदद करते हैं: विवरण, पिन कोड - चुंबकीय पट्टी पर दर्ज सभी जानकारी।



पौना

स्किमर का पता लगाने के बाद, इसमें से कार्ड डेटा निकालने की आवश्यकता थी: प्रतियोगिता की तैयारी के दौरान, आयोजकों ने वहां एक निश्चित संख्या के साथ एक गैर-मौजूद कार्ड का एक डंप लिखा था।


कार्ड की चुंबकीय पट्टी पर जानकारी एफ / 2 एफ-आवृत्ति एन्कोडिंग का उपयोग करके दर्ज की जाती है (इसे क्या खाया जाता है और इसे कैसे डिकोड किया जा सकता है - यहां पढ़ें) और 5-बिट एन्कोडिंग में 7-बिट एन्कोडिंग या डिजिटल वर्णों में अल्फ़ान्यूमेरिक वर्णों का प्रतिनिधित्व करता है। पढ़ने की त्रुटियों को निर्धारित करने के लिए, समता और अनुदैर्ध्य अतिरेक जांच (या अनुदैर्ध्य अतिरिक्त नियंत्रण - LRC) का उपयोग किया जाता है।

किसी भी ट्रैक पर डेटा सर्विस सिंबल के शुरू होने और सर्विस सिंबल के अंत के साथ शुरू होना चाहिए। इन प्रतीकों को इस तरह से चुना जाता है कि वे आपको उपयोगी जानकारी के ब्लॉक की शुरुआत निर्धारित करने, कार्ड पढ़ने की दिशा निर्धारित करने और यहां तक ​​कि जानकारी के एन्कोडिंग प्रारूप (5 बिट या 7 बिट) की अनुमति देते हैं।

नियंत्रण वर्ण हार्डवेयर को नियंत्रित करने के लिए डिज़ाइन किए गए हैं और इसका उपयोग सूचना (डेटा सामग्री) संचारित करने के लिए नहीं किया जा सकता है। मैप पर डेटा फ़ील्ड को अलग करने के लिए विभाजकों का उपयोग किया जाता है।

7-बिट एन्कोडिंग में, वर्ण [\] अतिरिक्त राष्ट्रीय वर्णों के लिए आरक्षित होते हैं और उन्हें सूचना के अंतर्राष्ट्रीय आदान-प्रदान के भाग के रूप में उपयोग नहीं किया जाना चाहिए, # वर्ण मनमाना अतिरिक्त ग्राफ़िक वर्णों के लिए आरक्षित है।
यहाँ एक उदाहरण है कि यह कैसे दिख सकता है:

- मानक आईएसओ 2 ट्रैक:

? XXXXXXXXXXXXXXXXXX = YYYYYYYYYYYYYYYYY? Z - राजनीतिक चरित्र ?

एक्स ... एक्स - कार्ड नंबर, जेड - एलआरसी (डेटा शुरू चरित्र के साथ शुरू होता है और अंत चरित्र के साथ समाप्त होता है, कार्ड संख्या 16 अंकों की है, एलआरसी मौजूद है)



परीक्षण और डंपिंग का क्षण

वास्तव में, आप एमपी 3 फ़ाइल के रूप में खिलाड़ी से डेटा कॉपी कर सकते हैं, जहां ट्रैक रिकॉर्ड किया गया है, उसे ऑडियो एडिटर में बड़ा करें और बिट द्वारा पार्स करें, लेकिन सरल तरीके हैं।

उदाहरण के लिए:

• स्वाइप एक ऑडियो पोर्ट पर चुंबकीय पट्टी कार्ड पढ़ने के लिए एक आवेदन पत्र है।
• चुंबकीय धारी विकोडक। चुंबकीय पट्टी कार्ड को डीकोड करने का कार्यक्रम, साउंड कार्ड के माध्यम से चुंबकीय पट्टी से कच्चा डेटा प्राप्त करना।

वे आपको कम या ज्यादा सटीक रूप से ऑडियो ट्रैक डेटा को ASCII (डिक्रिप्टेड डेटा) में बदलने की अनुमति देते हैं।

लगभग एक घंटे के बाद, स्किमर में दर्ज कार्ड का डेटा प्रदान किया गया। स्पेक्टेटर सिम्पैथी का सम्मानित पुरस्कार उसके मालिक को मिला। मैक्सिम विकलेंटसेव को बधाई!

बाकी प्रतिभागियों ने एटीएम पर अपलोड किए गए मुख्य पुरस्कारों के लिए लड़ना जारी रखा :) किसी ने रक्षा को हैक करने की कोशिश की, लेकिन ऐसे लोग थे जो थक गए थे और एक त्वरित संवर्धन की उम्मीद खो बैठे थे। फिर भी, पहला दिन तूफानी था, हालांकि मुख्य जैकपॉट आयोजकों के साथ रहा ...

दूसरा दिन

सबसे लगातार बना रहा

एटीएम हैकिंग के लिए मैदान में प्रतियोगिता के दूसरे दिन, सभी समान प्रतिभागियों को देख सकते हैं। सुरक्षा को दरकिनार करने के लिए एक वेक्टर खोजने की कोशिश में दृढ़ता और दृढ़ता व्यर्थ नहीं रह गई, और यहां - स्टानिस्लाव पोवोलत्स्की ने सुरक्षित रूप से बचाव किया और एक अहस्ताक्षरित कोड को निष्पादित करके, पहले एटीएम में नकद पुरस्कार जीता।



एक सफल नौकरी का प्रदर्शन

दूसरे एटीएम पर नेटवर्क हमले का सार इस प्रकार था: एटीएम में एक लैपटॉप स्थापित सॉफ्टवेयर था जो प्रसंस्करण का अनुकरण करता था।



प्रसंस्करण एमुलेटर

एमुलेटर को पिन कोड के बिना डाले गए किसी भी कार्ड के साथ पैसे जारी करने के लिए कॉन्फ़िगर किया गया था, लेकिन कैसेट जिसका कमांड अनुरोध के जवाब में भेजा गया था, खाली था। इस समस्या को हल करने के लिए, यह आवश्यक था:

• प्रसंस्करण एमुलेटर के प्रतिक्रिया पैकेट को अवरोधन;
• पैकेज को अलग करें और अपना स्वयं का फॉर्म बनाएं - केवल सही कारतूस संख्या के साथ;
• कार्ड डालें और, प्रसंस्करण के लिए अनुरोध भेजते समय, बदले हुए डेटा के साथ एटीएम को जवाब दें;
• एटीएम का जवाब देने के लिए tcpdump, wirehark, scapy या ettercap टूल का उपयोग करके, रीप्ले हमले या संशोधित डेटा के साथ स्पूफ़िंग हमला करें।

tcpdump एक UNIX उपयोगिता है जिसमें विंडोज के लिए एक क्लोन है और आपको कंप्यूटर पर गुजरने वाले नेटवर्क ट्रैफ़िक को इंटरसेप्ट और विश्लेषण करने की अनुमति देता है जिस पर यह प्रोग्राम चल रहा है।

वायरशर्क एक समान उपयोगिता है, केवल "चार्ज", एक जीयूआई के साथ।

स्कैथ पायथन प्रोग्रामिंग भाषा में नेटवर्क पैकेट में हेरफेर करने के लिए एक इंटरैक्टिव शेल और सॉफ्टवेयर लाइब्रेरी है।

ettercap एक कंप्यूटर इंटरफ़ेस से गुजरने वाले नेटवर्क ट्रैफ़िक का विश्लेषण करने के लिए एक उपयोगिता है, लेकिन अतिरिक्त कार्यक्षमता के साथ। कार्यक्रम आपको "मैन इन द मिडल" जैसे हमले करने की अनुमति देता है, ताकि दूसरे कंप्यूटर को राउटर पर पैकेट को प्रेषित करने के लिए मजबूर न किया जा सके, लेकिन हमलावर को।



दरअसल, कुछ भी नहीं बदलता है

इस तरह के एक कठिन दृष्टिकोण के साथ, प्रतिभागियों को कठिनाइयों का सामना करना पड़ा, लेकिन उन्होंने उन्हें पछाड़ दिया। दूसरे एटीएम में प्रसंस्करण से प्रतिक्रिया को गलत साबित करने का पुरस्कार टीम द्वारा प्राप्त किया गया था - सूचना और सार्वजनिक, सुरक्षा केंद्र और उज़्बेकिस्तान। हम उन्हें क्या बधाई देते हैं! विजेताओं की पूरी सूची प्रतियोगिता पृष्ठ पर है ।