幸いなことに、私はすぐに「脚が成長する」場所を見つけました。
メガホンの保護に別の「穴」が見つかったため、共有しています。
すべてのネットワークサブスクライバーに適用されます。
数日前、私はメガホンのウェブサイトの「穴」について加入者サービスに報告しました。 2013年4月8日の時点では、この脆弱性は修正されていません。
スキームは、likeのようにエレガントでシンプルです。 知らないうちにアカウントからお金を盗むことができます。
そのため、Megaphoneには必要で便利なものがあります-サービスガイド。 「通話は私たちにとって非常に重要です」と長い音声通信なしでサービスを管理することが可能です。
そして、パスワードの選択によるハッキングを許可せずに、その入り口は正しく行われます。 シンプルだがキャプチャが存在する。
すべてうまくいきますが、キャプチャはサイトのユーザビリティを損ないます。 デザイナーは常識を打ち破ることがあります。 電話のmessages.megafon.ruの機能を複製するポータルがあり、その入り口は自動パスワード推測から保護されていません。
ただし、ログイン用のユーザー名/パスワードのペアは、サービスガイドと同じです。
サービスガイドでは、サービスの管理、関税の接続、通知の設定ができます。
泥棒は何をしましたか？
- このSMSサイトの助けを借りて、彼らは（明らかに、徹底的な検索によって）サービスガイドからパスワードを選択し、入力します。
- 彼らはサービスガイドにアクセスできます。着信SMSを読んで送信するためです。
- 有料サービス（愚かなMegafonPro、私の推定意見）を購読します。
- サブスクリプションでは、確認コード付きのSMSが送信されます。
- サブスクリプションサイトでこのコードを入力します。
- 彼らは有料サブスクリプションのためにあなたのアカウントから差し引かれたお金のためにメガフォンから代理店の利益を得ます。
数千台の電話を自動的かつ大規模に処理したため、あなたは下品なお金を稼ぐことができます。
モバイルオペレーターの専門家の功績として、サービスガイドとこの「SMSサイト」に入ると、SMS通知が届くことに注意してください。
私の場合、SMSポータルへの入り口は00:23分に起きており、そのとき私は起きていましたが、モバイルインターネットを介してすぐにパスワードをサービスガイドからより安定したものに変更しました。
残念ながら、パスワードを変更してもMegafon SMSサイトからユーザーはログアウトされず、攻撃者はそこにいる可能性があります。
泥棒は私の前にサービスガイドを入力する時間がありませんでした。 おそらく、サービスガイド自体に関連性の低いパスワードを頻繁に入力したために、パスワードがブロックされた可能性があります。 しかし、パスワードを変更できなかった場合、誰が何をするかを知っています。
日中、有料サブスクリプションの確認コードは2回来ました。 彼らは今来続けます。
メガホンのこの攻撃に対する保護対策：
1.ここで自動ログインに対する保護をmessages.megafon.ruに設定し、そのような冗談はしません- 完了
2.サービスガイドパスワードにラテン文字の使用を許可する
3. SGとSMSサイトに異なるログイン/パスワードのペアを作成します
加入者の保護対策：
0.通常、サービスガイドは使用しませんが、すでに開始している場合
1. たとえば 、サービスガイドに強力なパスワードを入力します
2.いずれの場合でも、サービスガイドからパスワードを変更します
3.サービスガイドまたはサブスクリプションサービスで、有料サービスまたはサブスクリプションの使用をブロックし、短い数字からお金を差し引きます。 MegaFon加入者の場合、これは無料のコンテンツ停止サービスです。
ご清聴ありがとうございました。 皆様に安全な接続とバグのない請求をお願いします。
ゼロアップデート：便利なKiiA関連リンク www.mobile-review.com/articles/2013/ums-podpiski.shtml
UPD1：Habrに関する最新記事「 ServiceGuideについて 」
UPD2：2013年4月9日、Megaphoneはcaptchaをフォームに追加しました。 主なギャップは閉じられています！ かなり迅速な反応をしてくれたMegafonのスタッフに感謝します。
UPD3：記事へのコメントにおけるメガホンの答え 。
UPD4： メガホンの穴に関する別の記事 -新鮮で、まだ閉じられていません！
UPDATE2015-穴は閉じられていません！ ヴォルゴグラードからのhabrachitatelからのメッセージ：
キャプチャがありますが、何も保護しません。
間違ったログインパスワードとキャプチャを入力すると、「無効なログイン/パスワード」というメッセージが表示されます。
そして、正しいログインパスワードとキャプチャを書き込むと、「正しくないキャプチャ」と表示されます。
したがって、以前のように無限に形作り続けることが可能です。
キャプチャは、誓約するときにのみ必要になります。
CAPTCHAはブルートの障害ではありません。キャプチャフィールドに常に1111を書き込むことができ、通常はブルートします。
-脆弱性が修正され、メガホンはよくできました！