🍊 🏴󠁧󠁢󠁥󠁮󠁧󠁿 🧕🏼 Vkontakte और Master Bank ने बैंक कार्ड द्वारा भुगतान से जुड़ी एक उत्कृष्ट भेद्यता को एक चांदी की थाली पर धोखेबाजों को प्रस्तुत किया 🍜 🤘🏽 🛷

बहुत से लोग जानते हैं कि Vkontakte के पास बैंक कार्ड के साथ शेष राशि को फिर से भरने का अवसर है। भुगतान की स्वीकृति मास्टर बैंक के प्रसंस्करण के माध्यम से कार्यान्वित की जाती है, और पहली नज़र में यह काफी सुरक्षित लगता है। यहां वीजा / मास्टरकार्ड सिक्योरकोड सुरक्षा प्रोटोकॉल द्वारा एसएसएल और सत्यापित हैं, और बयान है कि "इस पृष्ठ पर भेजी गई कोई भी जानकारी विशेष साधनों द्वारा सुरक्षित और संरक्षित है।" लेकिन, एसएसएल और वीजा / मास्टर कार्ड प्रोटोकॉल की सुरक्षा का आश्वासन देते हुए, मास्टर बैंक ने बिल्कुल भी ध्यान नहीं दिया। अपने स्वयं के प्रोटोकॉल की सुरक्षा के बारे में।

प्रोटोकॉल, जिसके माध्यम से व्यापारी एक भुगतान लेनदेन बनाता है और इसे मास्टर बैंक को भेजता है, आपको POST अनुरोध में मापदंडों को बदलने और वहां किसी भी वांछित जानकारी को प्रतिस्थापित करने की अनुमति देता है। इसका उपयोग करके, एक संभावित जालसाज एक साइट बना सकता है, जिस पर वह कुछ सेवाएं प्रदान करता है, उदाहरण के लिए एक मोबाइल फोन टॉप-अप। एक धोखेबाज़ अपने Vkontakte खाते से अग्रिम में कार्ड भुगतान अनुरोध बनाता है, जिससे मान्य ORDER मानों का एक सेट होता है।

फिर, अपनी वेबसाइट के मोबाइल फोन रिचार्ज पृष्ठ पर, वह ग्राहक से मोबाइल फोन नंबर दर्ज करने के लिए कहता है, और इसे मास्टर बैंक भुगतान पृष्ठ पर पुनर्निर्देशित करता है, व्यापारी के नाम, विवरण और आवश्यक मूल्यों के साथ राशि की जगह लेता है ताकि ग्राहक को संदेह न हो। मास्टर बैंक भुगतान पृष्ठ के लिए प्रतिस्थापित POST अनुरोध का उदाहरण:

input type='hidden' name='AMOUNT' value='_' 
      

        
        
        
      

     input type='hidden' name='CURRENCY' value='RUB' 
      

        
        
        
      

     input type='hidden' name='ORDER' value='__' 
      

        
        
        
      

     input type='hidden' name='DESC' value='  ' 
      

        
        
        
      

     input type='hidden' name='MERCH_NAME' value='   ' 
      

        
        
        
      

     input type='hidden' name='MERCH_URL' value='http//popolni.mobilnik.online.ru' 
      

        
        
        
      

     input type='hidden' name='MERCHANT' value='710000000837464' 
      

        
        
        
      

     input type='hidden' name='TERMINAL' value='71837464' 
      

        
        
        
      

     input type='hidden' name='EMAIL' value='' 
      

        
        
        
      

     input type='hidden' name='TRTYPE' value='0' 
      

        
        
        
      

     input type='hidden' name='COUNTRY' value='' 
      

        
        
        
      

     input type='hidden' name='MERC_GMT' value='3' 
      

        
        
        
      

     input type='hidden' name='TIMESTAMP' value=' ' 
      

        
        
        
      

     input type='hidden' name='BACKREF' value='vk'

इस प्रकार, कार्डधारक को कार्ड विवरण इनपुट पृष्ठ पर पुनर्निर्देशित किया जाएगा।

उम्मीद है कि चूंकि वह बैंक की विश्वसनीय वेबसाइट पर है, तो व्यापारी पर भरोसा किया जा सकता है। फंड कार्डधारक के खाते से डेबिट किए जाएंगे, और वोट धोखेबाज Vkontakte के खाते में जमा किए जाएंगे। धोखेबाज एक मोबाइल फोन टॉप-अप सेवा प्रदान नहीं करता है, Vkontakte विज्ञापन या अन्य सेवाओं पर अपने वोट खर्च करता है।

भेद्यता का परीक्षण किया जाता है, जैसा कि आप देख सकते हैं, फंड को Vkontakte के खाते में जमा किया गया था।

PS की जानकारी स्वाभाविक रूप से प्रकाशित होती है, मास्टर बैंक और VKontakte के तकनीकी समर्थन के बाद भेद्यता के बारे में बताया गया था। VKontakte से एक टिप्पणी भी प्राप्त हुई थी कि भेद्यता का तथ्य छोटा है, लेकिन संभावित है।

More articles: