Sistem loyalitas atau cara hidup gratis

Selamat siang, Habrovsk. Sehubungan dengan kepanikan besar dari artikel terakhir, saya persembahkan versi kedua. Semuanya sederhana, tanpa ingus. Sistem loyalitas adalah satu lubang besar. Setelah beberapa percobaan, kami sampai pada kesimpulan bahwa sejumlah besar situs di mana sistem seperti itu digunakan benar-benar tanpa logika ketika mencoba untuk menggunakannya.


Tentu saja, seseorang mampu mengimplementasikan setidaknya perlindungan yang sederhana, tetapi, tetapi seseorang membayangkan Internet dalam bentuk ini:



Secara umum, banyak serangan hacker terjadi hampir dalam bentuk ini. Hanya di film-film itulah mereka akan menunjukkan banyak gadget masa depan, yang fungsinya tidak masuk akal di masa sekarang.

Mari kita mulai bisnis. Sebagai contoh saya akan mengambil beberapa sistem di mana ada karzh massal.

Mari kita mulai dengan OBI .

Saya akan segera mengatakan bahwa bagi saya itu belum banyak dipelajari. Aturan samar mereka tentang penggunaan bonus membuat saya ragu. Pertama, mereka memiliki beberapa program bonus. Untuk salah satu dari mereka, Anda hanya dapat membayar di tiga kota di Rusia, untuk yang lain - semuanya. Pada saat yang sama, bonus tidak berlaku untuk semua, tetapi hanya hingga 50% dari nilai barang. Tetapi untuk membangun rumah dengan setengah harga sudah bagus.

Secara umum, OBI juga memiliki aplikasi tempat Anda dapat masuk ke kartu kami dan membayar dengan membuat kode batang.

Pergi ke halaman pendaftaran dengan sentuhan ringan tongkat sihir:


Kami mendapatkan formulir pendaftaran bukan kartu kami:


Nah, isi saja. Ngomong-ngomong, di sini sistem penghitungan kartu sama dengan yang ada di "Persimpangan". Untuk membuatnya jelas - Algoritma Moon . Saya mengisi semua data, menunjukkan nomor kartu acak. Dalam prosesnya, saya menangkap permintaan pendaftaran melalui sniffer.
Mengulanginya beberapa ratus kali dalam satu siklus. Tidak ada kesalahan. Situs ini menangani permintaan saya dengan cukup efisien dan mengembalikan respons di json:

"data":{"registration":null},"errors":[{"message":"\u041e\u0448\u0438\u0431\u043a\u0430 \u043f\u0440\u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u0444\u043e\u0440\u043c\u044b.","type":"validation","locations":{"path":"\/work\/obiclub.ru\/app\/GraphQL\/Mutation\/Frontend\/RegistrationMutation.php","line":109},"safe":true,"validation":{"cardnum":["\u041d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043d\u043e\u043c\u0435\u0440 \u043a\u0430\u0440\u0442\u044b. \u041f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445."]}}]}

Dalam variabel cardnum adalah teks berikut, yang diterjemahkan dari bahasa Yunani Unicode -

“Nomor kartu salah. Periksa kebenaran dari data yang dimasukkan »

Sangat menarik bahwa untuk semua permintaan saya dari satu IP tidak ada pemblokiran. Apalagi sesi ini berlangsung sangat lama. Saya memeriksa setelah sehari - jawabannya adalah. Setidaknya bisa mereset cookie, masukkan captcha, dan kemudian "facepalm" yang solid. Menulis perangkat lunak tidak sulit, hanya saja akan jatuh di bawah
UK RF Artikel 273 , dan ini sudah berbahaya!

Kami membangun rumah. Kita harus mengisi bahan bakar mobil kita dan berkeliling kota. Saya bisa memberikan contoh di sini dengan pompa bensin paling populer, tetapi mengingat beberapa pertimbangan saya tidak akan melakukan ini. Setiap orang memiliki satu sistem, tetapi pendekatannya berbeda, jadi saya akan menunjukkannya di pompa bensin paling sederhana dan tidak banyak diketahui.

AZS-ETALON.RU . Itu menarik perhatian saya dengan apa yang ada di kota saya. Prinsip operasi serupa - ada kartu loyalitas; ada situs tempat kami mendaftarkan kartu; Ada aplikasi melalui otorisasi di mana Anda dapat membayar di kasir. Yah, umumnya lucu.

Buka formulir pendaftaran kartu - lk.azs-etalon.ru/registration.php


Isi semua data, klik "Retas" "Daftar". Kami mendapat jawabannya

"Nomor kartu tidak valid"

yang berarti bahwa kita akan memasukkan nomor berikutnya pada akun dan seterusnya sampai kita menemukan bahan bakar gratis untuk teman roda empat kita.

- Otomatis?
- Mudah.

Kami menangkap paket untuk pendaftaran. Kami mendapatkan yang berikut ini

HTTP HEADERS:


POST-DATA:

Kami membawanya ke bentuk yang mudah digunakan, menyesuaikan ke CURL, memalu menjadi satu lingkaran dan memasukkannya ke dalam aliran. Situs akan menerbitkan:

"RќµІµЂЅ‹ № ЅѕјµЂ є ° Ђ‚ ‹"

yang diterjemahkan dari bahasa Jerman CP1251 -

"Nomor kartu tidak valid"

Kami mengatur kondisi untuk kemunculan jawaban lain dan menemukan "buzz" . Brutus yang paling sederhana sudah siap.

Tidak ada captcha, pemblokiran IP untuk sejumlah besar permintaan - tidak, bahkan tidak ada pemeriksaan awal untuk entri data dari klien. Oh oke Dan begitulah seterusnya.

Mari kita pergi melalui satu lagi binatang buas. Ini jauh lebih besar dari yang lain, tetapi masih rentan.

Tape ... Baru - TAPE

Buka getetepes lk.lenta.com/authentication/login/activate-card:


Kami berasumsi bahwa ini adalah kartu yang sebelumnya tidak valid dan tidak diaktifkan. Kami diminta memasukkan nomor telepon



Nah, masukkan ponsel Anda, lalu sisa data, termasuk kata sandi. Itu saja, kita ada di akun pribadi.

Di sini, seolah-olah, semuanya mirip dengan sistem sebelumnya. Penting untuk menangkap permintaan yang diperlukan, kemudian ulangi dalam urutan yang diinginkan.

Namun secara empiris, beberapa kerentanan buruk ditemukan. Ketika memasukkan kode verifikasi yang salah - apa yang terjadi? Tidak ada, mereka tidak membiarkan kami masuk ke LC. Ini logis, kawan.


Tetapi secara eksperimental, yang berikut diverifikasi! Permintaan konfirmasi kode ditangkap, di mana semua parameternya jelas:

{"Code": "12345667890", "card": "800011999193", "phone": "91234567789"}

Saya tidak akan mengunyah bagaimana saya mengeksploitasi kerentanan ini, tetapi saya akan memberi tahu Anda secara singkat. Dengan itu, Anda cukup menghilangkan kode dan kami akan selalu masuk ke akun pengguna tanpa mengonfirmasi nomornya. Dan ini berarti kita dapat menunjukkan angka berapa pun!

( Saat ini saya mencoba menghubungi dukungan TAPE )

Kenapa semua ini? Mari kita ambil stok.

Ada banyak layanan dengan sistem loyalitas. Anda dapat tanpa henti mencari mereka dan "brute" poin. Jika saya beri tahu, apa mungkin menerbangkan pesawat untuk titik-titik ini?

Aeroflot dan S7 juga memiliki sistem bonus. Poinnya bermil-mil. Kami dapat memperolehnya dari, misalnya, mitra. Omong-omong, Aeroflot memiliki sekitar 2 ribu di antaranya. Termasuk, hampir semua supermarket teratas, termasuk Grup Ritel X5 kami yang terkenal. Anda dapat menebus poin bermil-mil langsung di LC dari Crossroads yang sama. Ya, dan hampir di semua layanan lainnya. Ngomong-ngomong, fakta pencurian pesawat mil ini dicatat secara resmi. Kasus profil tinggi, bukan tanpa pengorbanan.

Akibatnya, semuanya tidak sesederhana kelihatannya. Ada orang yang hidup dari titik-titik ini. Nah, jika bola-bola ini secara resmi milik Anda, maka seseorang duduk di leher Anda. Kulkhackers dapat makan, berpakaian, naik mobil, terbang keliling kota, dan banyak lagi gratis.

PS: Terima kasih atas kenyataan bahwa beberapa petugas keamanan dari X5 menghubungi saya sekaligus. Ada lebih banyak diskusi dengan satu tentang "poin siapa itu - pelanggan atau Persimpangan" daripada masalah keamanan sistem. Tapi, saya pikir, mereka akan memperbaiki semuanya, karena seluruh Dewan Keamanan sudah sadar. Segera, yah. Mereka harus membayar upeti. Yang utama adalah menjadi lebih baik.

Nah, di sini Anda memiliki survei.