मास्टर बैंक की वेबसाइट का उपयोग करके Brutforsim कार्ड नंबर, CVV2 और वैधता अवधि

एक साल पहले की तुलना में थोड़ा अधिक, मैंने पहले ही मास्टर बैंक और VKontakte की भेद्यता के बारे में लिखा था । इस तरह के समय के बाद, किसी ने भेद्यता को बंद नहीं किया है, और किबिज़ॉइडस टिप्पणी सभी अधिक मजेदार लगती है।

खैर, और हम जारी रखते हैं। आज हम बहुत अधिक गंभीर भेद्यता पर विचार करेंगे - एक ही मास्टर बैंक के भुगतान पृष्ठ का उपयोग करके कार्ड विवरणों को छाँटने की क्षमता।

पिछली बार की तरह, सुविधा के लिए, Vkontakt पर जाएं और प्लास्टिक कार्ड के साथ विज्ञापन के लिए भुगतान चुनें:



अगला, हमले किए गए बैंक कार्ड का विवरण दर्ज करें:



हम लॉन्च करते हैं, उदाहरण के लिए, फ़ायरफ़ॉक्स में फ़ायरबग या क्रोम में डेवलपर टूल और POST अनुरोध को रोकते हैं।
सुविधा के लिए, हम इसे निम्नलिखित फ़ॉर्म के URL में फिर से बनाते हैं:
https://web3ds.masterbank.ru/cgi-bin/
cgi_link; CARD = 4 ***************************************************
% EE% ED% F2% E0% EA% F2% E5 & TERMINAL = 71837464 और TRTYPE = 0 & COUNTRY = & MERCH_GMT = & TIMESTAMP =
20111116002415 और NONCE = & BACKREF = vk & P_SIGN = & FORM_ID = 0BB4A02A05B3580A और MERCH_URL =
http = // vkontakte.ru/payments.php?act=finished_ads&union_id=1600473347&result=unknown&source=masterbank
& Expand_type = card & order_id = 2062445 & TIMESHOW = 08657 & PAGE = default-1251 & SEND_BUTTON.x = 43 & SEND_BUTTON.y = 7 & SEND_BUTTON =% CE% F2% EF% F0% E0% E2% E2% E8% F2% FC% FC%

अब आप कर्ल का उपयोग करके एक सरल स्क्रिप्ट लिख सकते हैं और सीधे कार्ड नंबर, cvv2 और समाप्ति तिथियों (पैरामीटर CARD, EXP / EXP_YEAR, CVC2, क्रमशः) के माध्यम से एक छोटी राशि के लिए खोज कर सकते हैं। उसी समय, मास्टर बैंक प्रयासों को अवरुद्ध नहीं करता है। जैसा कि प्रयोग दिखाता है, ऐसा लिंक कई घंटों तक "रहता है", और उसके बाद ही यह समाप्त होता है

पीएस परंपरा के अनुसार, इस भुगतान गेटवे के कथित विक्रेता, मास्टर बैंक और WAY4, को ई-मेल द्वारा सूचित किया गया था, लेकिन किसी ने भी सवाल नहीं उठाया