वफादारी प्रणाली या मुफ्त में कैसे जीना है

शुभ दिन, हब्रोव्स्क। पिछले लेख के महान आतंक के संबंध में , मैं आपको दूसरा संस्करण प्रस्तुत करता हूं । सब कुछ सरल है, बिना गाँठ के। वफादारी प्रणाली एक बड़ा छेद है। कुछ प्रयोगों के बाद, हम इस निष्कर्ष पर पहुंचे कि बड़ी संख्या में साइटें, जहां इस तरह की प्रणाली का उपयोग किया जाता है, पूरी तरह से तर्क से रहित होती हैं जब इसका उपयोग करने की कोशिश की जाती है।


बेशक, कोई व्यक्ति कम से कम एक सरल, लेकिन सुरक्षा को लागू करने में सक्षम था, लेकिन कोई इस रूप में इंटरनेट की कल्पना करता है:



सामान्य तौर पर, कई हैकर हमले लगभग इसी रूप में होते हैं। यह केवल फिल्मों में है कि वे आपको भविष्य के गैजेट्स का एक गुच्छा दिखाएंगे, जिनमें से कार्यक्षमता वर्तमान में समझ में नहीं आती है।

चलो व्यापार के लिए नीचे उतरो। एक उदाहरण के लिए मैं कुछ प्रणालियों को ले जाऊंगा जहां एक जन करज़ हो सकता है।

आइए ओबीआई से शुरू करते हैं।

मैं तुरंत कहूंगा कि मेरे लिए यह बहुत कम अध्ययन किया गया है। बोनस के उपयोग के बारे में उनके अस्पष्ट नियमों ने मुझे अलग-अलग संदेह में डाल दिया। सबसे पहले, उनके पास कई बोनस कार्यक्रम हैं। उनमें से एक के लिए आप केवल रूस के तीन शहरों में भुगतान कर सकते हैं, दूसरे के लिए - सभी में। इसी समय, बोनस सभी पर लागू नहीं होता है, लेकिन माल के मूल्य का केवल 50% तक। लेकिन आधी कीमत पर घर बनाना पहले से अच्छा है।

सामान्य तौर पर, ओबीआई के पास एक एप्लिकेशन भी होता है जहां आप हमारे कार्ड पर लॉग इन कर सकते हैं और बार कोड बनाकर भुगतान कर सकते हैं।

एक जादू की छड़ी के हल्के स्पर्श के साथ पंजीकरण पृष्ठ पर जाएं:


हम अपने कार्ड के पंजीकरण फॉर्म में आते हैं :


खैर, इसे भरें। वैसे, यहां कार्डों की गणना करने की प्रणाली "चौराहे" के समान है। आदेश में यह स्पष्ट करने के लिए - एल्गोरिथ्म चंद्रमा । मैंने सभी डेटा भर दिए, एक यादृच्छिक कार्ड नंबर का संकेत दिया। इस प्रक्रिया में, मैंने एक स्निफर के माध्यम से पंजीकरण अनुरोध पकड़ा।
इसे एक चक्र में कई सौ बार दोहराया। कोई त्रुटि नहीं थी। साइट ने मेरे अनुरोधों को बहुत कुशलता से संभाला और json में प्रतिक्रिया दी:

"data":{"registration":null},"errors":[{"message":"\u041e\u0448\u0438\u0431\u043a\u0430 \u043f\u0440\u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u0444\u043e\u0440\u043c\u044b.","type":"validation","locations":{"path":"\/work\/obiclub.ru\/app\/GraphQL\/Mutation\/Frontend\/RegistrationMutation.php","line":109},"safe":true,"validation":{"cardnum":["\u041d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043d\u043e\u043c\u0435\u0440 \u043a\u0430\u0440\u0442\u044b. \u041f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445."]}}]}

चर कार्डनम में निम्नलिखित पाठ था, जो ग्रीक यूनिकोड से अनुवादित है -

“गलत कार्ड नंबर। दर्ज किए गए डेटा की शुद्धता की जांच करें »

यह दिलचस्प है कि एक आईपी से मेरे सभी अनुरोधों के लिए कोई अवरोध नहीं था। इसके अलावा, सत्र बहुत लंबे समय तक रहता है। मैंने एक दिन के बाद जाँच की - जवाब था। कम से कम कुकीज़ को रीसेट कर सकते हैं, कैप्चा दर्ज कर सकते हैं, और फिर एक ठोस "फेसपालम"। सॉफ्टवेयर लिखना मुश्किल नहीं है, केवल इसके तहत गिर जाएगा
सीसी। रूस। अनुच्छेद 273 , और यह पहले से ही खतरनाक है!

खैर, हमने एक घर बनाया। हमें अपनी कार को फिर से भरना चाहिए और शहर के चारों ओर सवारी करनी चाहिए। मैं यहां सबसे लोकप्रिय गैस स्टेशनों के साथ एक उदाहरण दे सकता हूं, लेकिन कुछ विचारों के मद्देनजर मैं ऐसा नहीं करूंगा। सभी में एक प्रणाली है, लेकिन इसके लिए दृष्टिकोण अलग है, इसलिए मैं इसे सबसे सरल, अल्पज्ञात गैस स्टेशन पर प्रदर्शित करूंगा।

AZS-ETALON.RU । इसने मेरा ध्यान आकर्षित किया कि मेरे शहर में क्या है। ऑपरेशन का सिद्धांत समान है - एक वफादारी कार्ड है; एक साइट है जहाँ हम एक कार्ड रजिस्टर करते हैं; प्राधिकरण के माध्यम से एक आवेदन है जिसमें आप चेकआउट पर भुगतान कर सकते हैं। खैर, यह आम तौर पर मजाकिया है।

कार्ड पंजीकरण फॉर्म - lk.azs-etalon.ru/registration.php पर जाएं


किसी भी डेटा को भरें, "हैक" "रजिस्टर" पर क्लिक करें। हमें जवाब मिल गया

"अमान्य कार्ड नंबर"

जिसका अर्थ है कि हम खाते में अगला नंबर दर्ज करेंगे और इसी तरह जब तक हमें अपने चार-पहिये वाले दोस्त के लिए मुफ्त ईंधन नहीं मिलेगा।

- स्वचालित?
- आराम से।

हम पंजीकरण के लिए पैकेज को पकड़ते हैं। हम निम्नलिखित प्राप्त करते हैं

HTTP हेडर:


बाद आंकड़े:

हम इसे एक सुविधाजनक रूप में लाते हैं, इसे CURL में समायोजित करते हैं, इसे एक लूप में हथौड़ा करते हैं और एक धारा में डालते हैं। साइट जारी करेगी:

"R "ЅІµЂ ‹ Ѕ ѕјќµЂ Ђ ° є ‹"

जर्मन CP1251 से अनुवादित -

"अमान्य कार्ड नंबर"

हम दूसरे उत्तर की उपस्थिति के लिए स्थिति निर्धारित करते हैं और "चर्चा" पाते हैं। सबसे सरल ब्रूटस तैयार है।

बड़ी संख्या में अनुरोधों के लिए कोई कैप्चा, आईपी ब्लॉकिंग नहीं है - नहीं, क्लाइंट से डेटा प्रविष्टि के लिए प्रारंभिक जांच भी नहीं है। ओह, ठीक है। और इसलिए यह चला जाता है।

चलो एक और जानवर के माध्यम से जाना। यह दूसरों की तुलना में बहुत बड़ा है, लेकिन अभी भी कमजोर है।

टेप ... बस - टेप

Getetepes पर जाएँ lk.lenta.com/authentication/login/activate-card:


हम मानते हैं कि यह पहले से मान्य, गैर-सक्रिय कार्ड था। हमें एक फ़ोन नंबर दर्ज करने के लिए कहा गया है



खैर, अपना मोबाइल, फिर पासवर्ड सहित बाकी डेटा डालें। यह सब, हम व्यक्तिगत खाते में हैं।

यहां, जैसा कि यह था, सब कुछ पिछले सिस्टम के समान है। केवल आवश्यक अनुरोधों को पकड़ना महत्वपूर्ण है, फिर उन्हें वांछित अनुक्रम में दोहराएं।

लेकिन आनुभविक रूप से, कुछ ख़राब भेद्यता पाई गई। गलत सत्यापन कोड दर्ज करते समय - क्या हुआ? कुछ नहीं, उन्होंने हमें नियंत्रण रेखा में जाने नहीं दिया। यह तार्किक है, दोस्तों।


लेकिन प्रयोगात्मक रूप से, निम्नलिखित सत्यापित किया गया था! कोड की पुष्टि के लिए अनुरोध पर कब्जा कर लिया गया था, जिसमें सभी पैरामीटर स्पष्ट थे:

{"कोड": "12345667890", "कार्ड": "800011999193", "फोन": "91234567789"}

मैंने इस भेद्यता का शोषण कैसे किया, इसके बारे में मैं नहीं जानूंगा, लेकिन मैं आपको संक्षेप में बताऊंगा। इसके साथ, आप बस कोड को छोड़ सकते हैं और हम हमेशा संख्या की पुष्टि किए बिना उपयोगकर्ता खाते में पहुंच जाएंगे। और इसका मतलब है कि हम किसी भी संख्या को इंगित कर सकते हैं!

( मैं वर्तमान में टेप समर्थन से संपर्क करने की कोशिश कर रहा हूं )

यह सब क्यों? चलिए शेयर लेते हैं।

एक वफादारी प्रणाली के साथ बहुत सारी सेवाएं हैं। आप अंतहीन उनके लिए और "जानवर" अंक खोज सकते हैं। अगर मैं आपको बताऊं, तो इन बिंदुओं के लिए एक विमान उड़ाना क्या संभव है?

Aeroflot और S7 में बोनस सिस्टम भी है। अंक मील हैं। हम उन्हें, उदाहरण के लिए, भागीदारों से कमा सकते हैं। वैसे, एअरोफ़्लोत, उनमें से लगभग 2 हजार हैं। हमारे कुख्यात X5 रिटेल ग्रुप सहित लगभग सभी शीर्ष सुपरमार्केट शामिल हैं। आप उसी चौराहे के नियंत्रण रेखा में सीधे मील के लिए अंक भुना सकते हैं। ठीक है, और इसलिए लगभग सभी अन्य सेवाओं में। वैसे, मील की एयरलाइन चोरी का यह तथ्य आधिकारिक रूप से दर्ज किया गया था। हाई-प्रोफाइल मामला, बलिदान के बिना नहीं।

नतीजतन, सब कुछ उतना सरल नहीं है जितना लगता है। ऐसे लोग हैं जो इन बिंदुओं से दूर रहते हैं। खैर, अगर ये गेंद औपचारिक रूप से आपकी है, तो कोई आपकी गर्दन पर बैठा है। कुलचेकर खा सकते हैं, कपड़े पहन सकते हैं, कार की सवारी कर सकते हैं, शहरों के आसपास उड़ सकते हैं, और बहुत कुछ मुफ्त में कर सकते हैं।

पुनश्च: इस तथ्य के लिए धन्यवाद कि X5 के कई सुरक्षा अधिकारियों ने एक ही बार में मुझसे संपर्क किया। सिस्टम सुरक्षा के मुद्दे की तुलना में "जिनके अंक हैं - ग्राहक या चौराहे" के बारे में एक से अधिक चर्चा हुई। लेकिन, मुझे लगता है, वे सब कुछ ठीक कर देंगे, क्योंकि पूरी सुरक्षा परिषद पहले से ही जागरूक है। तुरंत, अच्छी तरह से। उन्हें श्रद्धांजलि अर्पित करनी चाहिए। मुख्य बात यह है कि बेहतर हो।

ठीक है, यहाँ आपके पास एक सर्वेक्षण है।