大量購入者強盗の修正価格

ほとんどの人は盗むのは非常に難しいと考えていますが、店自体が強盗を助けると、すべてがずっと簡単になります。 多くの学童がどのようにして顧客に巨額のお金を提供し、店舗の従業員がこれに貢献したかを説明します。







夏の初めのどこかで、〜800摩擦のすべてのボーナスが友人のボーナスカードから引き落とされました。学生にとってこれは1年にわたって貯めた多額のお金であり、攻撃者はどうやってこれを行うことができたのでしょうか。 私の個人アカウントに入ったとき、電話で写真の形で地図の電子版をダウンロードするように頼まれました。 そして、ここで悲劇の実物大を実感しました！ 最初から調査を始めましょう。



最初の要因：弱いパスワード。



閉じられない脆弱性は、男性自身です。 ハッキングされたアカウントの販売者に連絡し、アカウントが最も頻繁に遭遇したパスワードを彼に送信しました。

1）8/7のない電話番号

2）8、7、+ 7の電話番号

3）123456

4）123456789

5）1234567890

6）qwerty

7）fixprice

8）111111

9）222222

10）12345678

11）1234567

12）666666

13）123123

パスワードは人気順にソートされます。 サイトにアクセスすると、メール、電話番号、生年月日、名前、住所などの個人データを見つけることができます。



2番目の要因：サイト全体で番号を確認する



ブルータスの数値のベースはどこで入手できますか？ ここでは、ストアが攻撃者の作業を大幅に促進しました。 承認中、次の形式のURLに送信されたPOST要求は1つだけです。

bonus.fix-price/login
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

JSON :

1)

2)

3)

4)

« », :

konkurs.fix-price/profile/checkmail?email=&phone=
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

, , — . , , .



:



IP. . , .



, :







. , : 30 000. 30 3 !



, , .



! 50 . , ( ).



:



? :

hash:=sha256(2041 +  )
GET bonus.fix-price/assets/fixprice/images/barcode/%hash%.png
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

! ? !



:



:











, .



5-



— , . , « » .



, , , .



, IDE , 10-15% . . :







:

, , , , ! , ! , , , — .