पिज़्ज़ेरिया गणना: पापा जोन्स, जो सुरक्षा के बारे में परवाह नहीं करते हैं

ध्यान आकर्षित करने के लिए तस्वीर यहाँ ली गई है।

पापा जोन्स पिज़्ज़ेरिया कई देशों में खुला है, साइट इंजन लगभग हर जगह अलग है। हालांकि, इंजन, जिसे रूस में कहीं विकसित किया गया था, पोलैंड, किर्गिस्तान और बेलारूस के लिए साइटों पर भी उपयोग किया जाता है। हम इस पर विचार करेंगे।

आप उदाहरण के लिए, रूस के लिए एक मोबाइल साइट पर ही इंजन देख सकते हैं। मोबाइल क्यों? क्योंकि डेस्कटॉप के पास पंजीकरण फॉर्म भी नहीं है, हालांकि यह इस तथ्य से समझाया गया है कि ऑर्डर करते समय पंजीकरण स्वचालित है। मैंने एक बार यह जांचने का फैसला किया कि चीजें किस तरह से कमजोरियों के साथ हैं।

चूंकि अनुप्रयोगों में चुनना सबसे आसान तरीका है, इसलिए मैंने इसे लिया। अपने आश्चर्य के लिए, मुझे पता चला कि आवेदन साइट के लिए एक अजीब आवरण है, हालांकि सर्वर स्पष्ट रूप से यह भी भेद कर सकता है कि अनुरोधों के दौरान अनुरोध किससे आया था। यह आवेदन और मोबाइल संस्करण दोनों के लिए समान सफलता के साथ परीक्षण करना संभव हो गया। फर्क सिर्फ इतना है कि मोबाइल साइट के लिए प्लेटफॉर्म - मोबसाइट साइट को प्रेषित किया जाता है, और एप्लिकेशन सिस्टम और संस्करण को सूचित करते हैं।

मैंने तुरंत सफलता प्राप्त की, क्योंकि मैंने पासवर्ड रिकवरी के साथ शुरू किया था। मैं सुझाव देता हूं कि यह कैसे होता है।

सबसे पहले आपको एसएमएस में ही कोड प्राप्त करना होगा। हम शरीर में JSON के साथ लिंक के लिए पूछेंगे:

POST https://www.papajohns.ru/api/auth/recovery/requestCode { "username": "+79", "transport": "sms", "lang": "ru", "version": "1.0.34", "platform": "Android" } 

सर्वर जवाब देता है:

 { "status": true } 

अजीब बात है, बहुत कम डेटा है। कम से कम एक पहचानकर्ता या सत्र, लेकिन आगे देखें।

एक चार अंकों का कोड एसएमएस (केवल नंबर) पर आता है। हम इसे नहीं भेजेंगे, क्योंकि पासवर्ड बदलने से दो सप्ताह के लिए अंक ब्लॉक हो जाएंगे, लेकिन मेरे पास उनके लिए योजना थी। चलो यादृच्छिक भेजने की कोशिश करें:

 POST https://www.papajohns.ru/api/auth/recovery/updatePassword { "code": "1234", "password": "123456qwe", "transport": "sms", "version": "1.0.34", "platform": "Android" } 

मैं बहुत प्रभावित हुआ। यह पता चला है कि जब आप एसएमएस का अनुरोध करते हैं, तो फोन नंबर + कोड डेटाबेस में एसएमएस को लिखा जाता है, और जब आप कोड द्वारा पुनर्प्राप्ति का अनुरोध करते हैं, तो सर्वर डेटाबेस में कोड के लिए जांच करता है और, यदि कोड पाया जाता है, तो डेटाबेस को प्राप्त पासवर्ड सेट करता है।

स्थिति खराब हो रही है क्योंकि कोड एन्यूमरेशन पर कोई प्रतिबंध नहीं है। जाहिर है, मुझे पता चला कि 10 मिनट में कोशिश करके स्क्रिप्ट को पासवर्ड सेट करने की गारंटी दी जाती है। और अगर आप 0000 से 9999 तक सभी 10,000 कोड के लिए रिकवरी का अनुरोध करते हैं?

12 मई को, मैंने साइट डेवलपर को सीधे सभी विवरणों की सूचना दी (ठीक है, कम से कम उसने खुद को उनसे परिचित कराया)। 19 जून को, मुझे इस बात में दिलचस्पी हो गई कि चीजें किस तरह से भेद्यता को बंद कर रही हैं। स्क्रिप्ट ने लगभग तीन सौ अनुरोध भेजे और उठ खड़ी हुई। डेवलपर की स्थिति की जांच करने के बाद, मुझे पता चला कि सर्वर अब IP द्वारा अवरुद्ध कर रहा है अगर उसे 5 गलत अनुरोध मिलते हैं। आज मैंने फिर से जाँच की कि क्या तर्क बदल गया है, और मैं रिपोर्ट करने के लिए तैयार हूँ: यह नहीं बदला है। सर्वर अब भी उदासीन है: मैंने बहुत अधिक कठिनाई के बिना 3,000 अनुरोध भेजे, इसलिए सभी 10,000, मेरा मानना ​​है कि समस्याओं के बिना छोड़ देंगे।

केवल एक मोबाइल फोन नंबर की उपस्थिति से सभी संग्रहीत पते का खुलासा करने का खतरा महत्वपूर्ण है। पासवर्ड रीसेट होने पर बैंक कार्ड डिलीट हो जाते हैं। मुझे 1000 अंक और पिज्जा मिला। पिज्जा स्वादिष्ट है, लेकिन मैंने वहां का पता स्टोर नहीं किया है।