😆 🙌 📒 कैसे मैंने बिना प्रोग्रामिंग ज्ञान के कीवी को हैक कर लिया 🤘🏾 🧙🏻 👰🏼

प्रविष्टि

फिर से नमस्कार।

इस बार लेख "गंभीर" प्रश्न नहीं उठाएगा।

यह प्रोग्रामिंग के बिना, कैसे, लेकिन काफी समझदार और चौकस होने के बारे में एक कहानी होगी, आप एक गंभीर भेद्यता पा सकते हैं, उदाहरण के लिए, आपको केवल उपयोगकर्ता नाम और पासवर्ड के साथ खाते से सभी पैसे लिखने की अनुमति होगी (दो-कारक प्रमाणीकरण को बायपास करें या पढ़ें) एसएमएस द्वारा समान पुष्टि)।

फिलहाल, क्यूवी ने पहले ही इसे सफलतापूर्वक पैच कर दिया है, इसलिए मैं आधुनिक स्क्रीनशॉट के साथ स्पष्टीकरण को सुदृढ़ करने की कोशिश करूंगा, कभी-कभी यह बताते हुए कि यह 2.5 साल पहले कैसा दिखता था।

अब बात है

मान लें कि आपके पास एक उपयोगकर्ता नाम है: पासवर्ड किसी और के किवी वॉलेट में।
मान लीजिए कि 100k रूबल है।
और आप sooooo उन पर कब्जा करना चाहते हैं।
लेकिन आप केवल पैसे नहीं लिख सकते हैं - आपको एसएमएस द्वारा पुष्टि की आवश्यकता है।
लेकिन हम स्मार्ट हैं, यह हमें रोक नहीं पाएगा।

चरण 1. अपने खाते में लॉग इन करें और वहां एक वर्चुअल कार्ड बनाएं।
ऐसी तस्वीर हम देखते हैं

ऐसा लगता है कि हमारे पास बहुत कम जानकारी है। केवल कार्ड के अंतिम 4 अंक और कार्ड की अवधि।

लेकिन इससे पहले कार्ड के 6 (!) अंतिम अंक थे । अर्थात्, अन्य 10 अंक अज्ञात थे।
और हमें कार्ड पर सभी नंबरों की आवश्यकता है। ज्यादा कहां से लाएं? बहुत सरल है।
सभी कार्डों में BIN होता है - एक ही प्रकार के एक निश्चित बैंक के कार्ड के पहले 6 अंक समान होने चाहिए।

चरण 2। हम ब्राउज़र और Google "Qiwi बिन" में चढ़ते हैं

तुरंत हमें पता चलता है कि बिन 489049 है।
और अब हमारे पास पहले से ही 12 अंक हैं! केवल 4 बचे हैं!

लेकिन यहां कठिनाई आती है।
ये 4 अंक कहीं नहीं टिमटिमाते हैं और ऐसा लगता है, इन्हें प्राप्त करने के लिए कहीं नहीं है।
लेकिन, निश्चित रूप से, यदि आप कड़ी मेहनत करते हैं, तो आप पा सकते हैं :)

चरण 3. पिछले 4 अंकों को याद रखें

ऐसा करने के लिए, हमें 1000r के साथ कीवी में एक खाता होना चाहिए और यह जानना होगा कि चंद्रमा एल्गोरिदम क्या है ।
क्रम में चलते हैं।
यदि आप Qiwi में कोई ऑपरेशन खोलते हैं, तो यह भुगतान की तारीख और रसीद संख्या दिखाता है।
शायद कुछ पहले से ही अनुमान लगा चुके हैं कि हमें खाते में 1k की आवश्यकता क्यों है।
हां, हम उन अज्ञात 4 अंकों के बजाय संख्याओं को प्रतिस्थापित करेंगे जो अज्ञात बने रहे और उन्हें रूबल में कार्ड नंबर पर भेज दें!
और संचालन में से एक में हम खाते में एक आने वाली 1p प्राप्त करेंगे जहां क़ीमती 100k रूबल झूठ है।
यह केवल पैसे भेजने के समय की तुलना करने के लिए रहता है।
पहले, ऑपरेशन संख्याओं का मिलान करना संभव था, लेकिन अब उन्होंने इसे छिपा लिया है। और उन्होंने इसे सही किया।
और अब सबसे चौकस कहेंगे कि वास्तव में 4 अंक 10k संचालन हैं, 1k नहीं। तो आपको सही 4 अंक खोजने के लिए 10k रूबल और बहुत समय चाहिए।
और यह पूरी तरह सच नहीं है। मैं आपको चंद्रमा एल्गोरिदम पेश करता हूं !

Luhn एल्गोरिथ्म ISO / IEC 7812 के अनुसार एक प्लास्टिक कार्ड नंबर के चेक अंक की गणना के लिए एक एल्गोरिथ्म है। यह एक क्रिप्टोग्राफिक टूल नहीं है, लेकिन मुख्य रूप से अनजाने डेटा भ्रष्टाचार (उदाहरण के लिए, मैन्युअल रूप से एक नंबर दर्ज करते समय हुई त्रुटियों का पता लगाना है। कार्ड, जब फोन द्वारा सामाजिक सुरक्षा नंबर पर डेटा प्राप्त करते हैं)। यह केवल एक निश्चित डिग्री की विश्वसनीयता के साथ संख्याओं के ब्लॉक में त्रुटियों की अनुपस्थिति का न्याय करने की अनुमति देता है, लेकिन खोज की गई अशुद्धि को खोजने और सही करने की अनुमति नहीं देता है।

यदि यह बहुत दिलचस्प है - Google, और मैं आपको एल्गोरिथ्म के बारे में संक्षेप में बताऊंगा और यह कैसे हमारी मदद करेगा।
यह एल्गोरिथ्म आपको यह पुष्टि करने की अनुमति देता है कि कार्ड नंबर वैध है या नहीं। इस एल्गोरिथ्म के माध्यम से हमारे 10k विकल्प चलाने के बाद, आप केवल संभावित मौजूदा कार्डों की संख्या को छोड़ सकते हैं। अनुमान लगाओ कि कितने होंगे?
ठीक, ठीक 1k।

बेशक, यह सब मैन्युअल रूप से करना बहुत आसान लगता है, लेकिन एक साधारण स्क्रिप्ट को इन 1k विकल्पों को उत्पन्न करने से रोकता है?

यहाँ कुछ विकिपीडिया कार्यान्वयन उदाहरण हैं:

जेएस पर मून एलगोरिदम उदाहरण

function luhnAlgorithm(digits) { let sum = 0; for (let i = 0; i < digits.length; i++) { let cardNum = parseInt(digits[i]); if ((digits.length - i) % 2 === 0) { cardNum = cardNum * 2; if (cardNum > 9) { cardNum = cardNum - 9; } } sum += cardNum; } return sum % 10 === 0;}

उदाहरण PHP में चंद्रमा एल्गोरिदम

 function luhnAlgorithm($digit) { $number = strrev(preg_replace('/[^\d]/', '', $digit)); $sum = 0; for ($i = 0, $j = strlen($number); $i < $j; $i++) { if (($i % 2) == 0) { $val = $number[$i]; } else { $val = $number[$i] * 2; if ($val > 9) { $val -= 9; } } $sum += $val; } return (($sum % 10) === 0); }

अब हमें इन 1k विकल्पों के माध्यम से क्रमबद्ध करने की आवश्यकता है जो मैंने ऊपर वर्णित विधि का उपयोग कर किया है।
और वोइला - हमें अंतिम 4 अंक मिले।
अब हमारे पास कार्ड और उसकी वैधता का पूरा कोड है।
बेशक, हमारे पास सीवीवी कोड नहीं है (वह जो रिवर्स साइड पर लिखा गया है), लेकिन कुछ जगहों पर इसकी आवश्यकता नहीं है।
उदाहरण के लिए अमेज़न!
हां, हम अमेज़न पर जाते हैं और नए बनाए गए डेटा की मदद से कुछ भी ऑर्डर करते हैं।
उदाहरण के लिए, पैसे के लिए स्टीम कोड या ऐसा कुछ। सामान्य तौर पर, इंटरनेट पर जल्दी से बेचने के लिए कुछ इलेक्ट्रॉनिक है। हम पैसे में थोड़ा खो देंगे, लेकिन 20% से अधिक नहीं, सबसे अधिक संभावना है।
वह सब है! लाभ मिला + 79k लाभ!

यह मत भूलो कि यह अब काम नहीं कर रहा है!

लेकिन अगर आपको कुछ ऐसा ही लगता है - किवी को बताएं, वे (उम्मीद है) इसे ठीक करेंगे।
मैंने यह दिखाने के लिए यह निर्धारित किया है कि आप बिना प्रोग्राम किए भी ठंडी चीजें और सुरक्षा छेद पा सकते हैं। और सामान्य विकास के लिए।

सभी को शुभकामनाएँ :)

कैसे मैंने बिना प्रोग्रामिंग ज्ञान के कीवी को हैक कर लिया

प्रविष्टि

अब बात है

यह मत भूलो कि यह अब काम नहीं कर रहा है!

More articles: