🎪 👩🏿‍🤝‍👩🏻 🔵 भेद्यता प्रतियोगिता, या मुझे पूरी तरह से तोड़! 🎬 🌱 💇🏽

19 मार्च, हमने भेद्यता खोज के महीने की शुरुआत की घोषणा की "ताकत के लिए जाँच करें । " आज हम पहले परिणामों को संक्षेप में प्रस्तुत करना चाहते हैं और आपके साथ मध्यवर्ती परिणामों को साझा करना चाहते हैं, हमें बताएं कि हम एक शक्ति परीक्षण की तैयारी कैसे कर रहे थे, सबसे दिलचस्प कमजोरियों पर विचार करें और एक "फेसपालम" बनाएं।

और एक शुरुआत के लिए, कुछ आँकड़े:

पहले दो हफ्तों में, प्रतिभागियों ने संभावित भेद्यताओं के साथ हमें लगभग 500 आवेदन भेजे;
लगभग 50 आवेदन डुप्लिकेट थे;
हर दसवें एप्लिकेशन में एक वास्तविक भेद्यता थी (कुछ घंटों के भीतर सबसे खतरनाक को सही किया गया था);
150 से अधिक एप्लिकेशन त्रुटि साइट की सुरक्षा से संबंधित नहीं थे, और उनमें से लगभग 10% उन प्लेटफार्मों से संबंधित थे जो प्रतियोगिता में भाग नहीं ले रहे थे।
अधिकांश भेद्यताएं सिस्टम के सबसे महत्वपूर्ण घटक पर गिरीं - प्रोफ़ाइल (जैसे ही प्रतियोगियों ने उपयोगकर्ता खातों में झांसा नहीं दिया: हटाए गए और अपलोड किए गए फ़ोटो, टिप्पणियों, रुचियों, व्यक्तिगत डेटा और ईमेल पते को जोड़ दिया)।
भेजी गई भेद्यताओं में से आधे से अधिक विभिन्न सीएसआरएफ हैं, मुख्य रूप से उपयोगकर्ताओं द्वारा अपलोड या लिखी गई सामग्री को प्रभावित करना (फ़ोटो और टिप्पणियों को हटाना और अपलोड करना, ब्लैक लिस्टेड पसंदीदा के साथ काम करना आदि)।

साइट पर घटकों द्वारा भेद्यता प्रकार और उनके वितरण का ग्राफ

हम प्रतियोगिता के लिए कैसे तैयार ...

कुछ महीने पहले, हमने पूरे स्थल पर वैश्विक XSS संरक्षण का निर्माण किया। तुरंत एक आरक्षण करें कि यह रामबाण नहीं है और 100% कमजोरियों को कवर नहीं करता है। इसका उद्देश्य डेवलपर को एक आकस्मिक त्रुटि को रोकने में मदद करना है। विधि का सार स्वचालित रूप से ब्लिट्ज के माध्यम से प्रदर्शित होने वाले सभी चर को स्वचालित रूप से स्क्रीन करने के लिए है, उन क्षणों के अपवाद के साथ जब डेवलपर विशेष रूप से आउटपुट को अनस्क्रीन रूप में प्रदर्शित करने की अनुमति देता है।

एक अनधिकृत प्रोफ़ाइल में अतिरिक्त एसईओ-सामग्री के उत्पादन में सबसे दिलचस्प और एकमात्र पूर्ण एक्सएसएस-खोज पाया गया था। विभिन्न एसईओ जरूरतों के लिए कुछ प्रोफ़ाइल डेटा (मुख्य फ़ील्ड के बारे में) मेटा टैग में से एक में जोड़ा गया था। इस बिंदु पर, कच्चे डेटा के आउटपुट को एक बार अनुमति दी गई थी, जिसने एक हमले की अनुमति दी थी। चूंकि भेद्यता केवल अनधिकृत उपयोगकर्ताओं के लिए काम करती थी, इसलिए हमने पहली (सबसे कम खतरनाक) श्रेणी को इसे सौंपा: इसके माध्यम से कोई भी गोपनीय डेटा प्राप्त करना असंभव था। मन में आने वाले एकमात्र उचित अनुप्रयोग खाता डेटा का उपयोग आगे फ़िशिंग के लिए एक खुले पुनर्निर्देशन के रूप में करते हैं, लेकिन इस मामले में भी, आपको यह सुनिश्चित करने की आवश्यकता है कि उपयोगकर्ता वर्तमान में साइट पर नहीं है।

... और उन्होंने कैसे तैयारी नहीं की।

2013 में, ओडब्ल्यूएएसपी परियोजना ने अपनी लोकप्रियता में भारी वृद्धि और कई बड़ी वेब परियोजनाओं के लिए सुरक्षा की कमी के बावजूद, सीएसआरएफ हमले की रेटिंग को तीन बिंदुओं से कम कर दिया। हमले का सार सरल है: जब आप एक विशेष पृष्ठ पर जाते हैं जिसमें एक पोस्ट या जीईटी अनुरोध होता है, तो आप उपयोगकर्ता के सत्र के तहत खाते की सामग्री या सेटिंग्स को बदल सकते हैं। इस जगह में, सब कुछ उतना अच्छा नहीं था जितना हम चाहते हैं। साइट पर कार्यक्षमता का केवल हिस्सा (प्राधिकरण, लॉगआउट, व्यक्तिगत जानकारी का परिवर्तन, आदि) अद्वितीय सत्र टोकन द्वारा संरक्षित किया गया था। जैसे ही इस बग के बारे में पहले दस रिपोर्टें आईं, यह स्पष्ट हो गया कि समस्या को समग्र रूप से हल करने की आवश्यकता है। प्रतियोगिता की शुरुआत के कुछ दिनों बाद, हमने एक और वैश्विक रक्षा पोस्ट की: साइट के अधिकृत हिस्से पर सभी वेब सेवाएं POST में टोकन के लिए जाँच करने लगीं या उनके लिए GET अनुरोध। इस फिक्स के साथ, हमने अधिकांश CSRF अनुप्रयोगों को बंद कर दिया।

अगला, हम कुछ सबसे दिलचस्प कमजोरियों को देखेंगे और उन प्रतिभागियों को टिप्पणी देंगे जिन्होंने उन्हें पाया ।

खरीद पर प्रसंस्करण ऋण में कमजोरता (BSI-13)
निकोले इर्मिशकिन (असद) द्वारा पोस्ट
श्रेणी: 5

हमने इस भेद्यता को पांचवें, उच्चतम महत्व के स्थान पर क्यों प्रदान किया? क्योंकि यह संचालित करना इतना आसान हो गया कि इसके लिए ब्राउज़र और किसी भी डीबग कंसोल को छोड़कर किसी विशेष कौशल और टूल की आवश्यकता नहीं थी। HTML कोड में ऋण की संख्या का चयन करने का तरीका इस प्रकार है:

... <option data-ga-ev="100  - 45,00." value="100"> <option data-ga-ev="550  (50 !) - 200,00." value="550" selected="selected"> <option data-ga-ev="1250  (250 !) - 450,00." value="1250"> <option data-ga-ev="2750  (750 !) - 900,00." value="2750"> ...

यह पता चला कि मूल्य फ़ील्ड का मूल्य सीधे उपयोग किया गया था! लगभग किसी भी संख्या के साथ प्रतिस्थापित करने पर, 220 रूबल की राशि में भुगतान करना और आपके खाते में ऋण की यह राशि प्राप्त करना संभव था। भेद्यता कुछ घंटों के भीतर तय की गई थी, और उपनाम के साथ एक उपयोगकर्ता ने हमारे आंतरिक शीर्ष में पहला स्थान मारा क्योंकि सबसे पहले महत्व की उच्चतम डिग्री की भेद्यता का पता लगाने के लिए।

असद द्वारा टिप्पणी

"सबसे पहले, मैं बस साइट के विभिन्न वर्गों में गया, अनुरोधों में पैरामीटर मानों को बदलने की कोशिश की, लेकिन यह उम्मीद की गई थी कि इस स्तर की एक परियोजना में एसक्यूएल इंजेक्शन जैसी गंभीर भेद्यता को ढूंढना संभव नहीं होगा। मैंने अध्ययन habrahabr.ru/post/117039 को याद किया, जिसमें लेखकों ने सीधे साइटों पर नहीं कमजोरियों की खोज की, और यहां तक कि अमेज़ॅन तीसरे पक्ष की सेवाओं के साथ उनकी बातचीत का विरोध नहीं कर सका। बैडू पर समान इंटरैक्शन के लिए उद्देश्यपूर्ण तरीके से खोज करने के बाद, मैंने उन्हें कई स्थानों पर पाया - संपर्क आयात करना, आपके खाते की पुष्टि करना, ऋण और महाशक्तियों के लिए भुगतान करना। क्रेडिट खरीद पृष्ठ पर जाने के बाद, मैंने कई तरीकों से भुगतान करने की संभावना की खोज की, और भुगतान प्रणालियों के साथ सहभागिता योजनाएं बहुत अलग थीं।
मैंने फैसला किया कि उनमें से किसी एक में गलती करना पूरी तरह से संभव है और अधिक विस्तार से जांच करना शुरू कर दिया। पहले एक मैंने वेबमनी को चुना, क्योंकि मेरे पास एक छोटी राशि थी, जिसके हाथ में एक छोटी राशि थी। जैसा कि मैं इसे समझता हूं, एक खरीद निम्नानुसार की जाती है: उपयोगकर्ता संभावित विकल्पों (100, 550, 1250, 2750) में से एक का चयन करता है, उसकी पसंद साइट पर आंतरिक खाते में कहीं बच जाती है, जिसके बाद उपयोगकर्ता वेबमनी वेबसाइट पर भुगतान करता है, जिसके दौरान बिल का भुगतान किया जाता है यह सहेजे गए के साथ तुलना की जाती है, और यदि वे मेल खाते हैं और भुगतान सफल होता है, तो उपयोगकर्ता अपने ऋण प्राप्त करता है। खाते को सहेजते समय किन मापदंडों को स्थानांतरित किया जाता है, इस पर ध्यान देने के बाद, मैंने देखा कि भुगतान किए गए ऋणों की संख्या को सीधे स्थानांतरित किया गया है, और कुछ मूल्य नहीं, जो 4 संभावित विकल्पों में से एक को दर्शाता है। इसे बड़ी संख्या के साथ प्रतिस्थापित करते हुए, मुझे 7.5wmz के चालान (550 क्रेडिट के लिए मानक मूल्य) और मेरे द्वारा इंगित किए गए क्रेडिट की संख्या के साथ, सर्वर से सही उत्तर मिला। मैंने इसे भुगतान किया - और ऋण मेरे खाते में थे, हालांकि थोड़े से कटे हुए रूप में - केवल 2147483647 "।

प्रोफ़ाइल डेटा बदलते समय ग़लतफ़हमी (BSI-12)
पोस्ट करनेवाले: whitebureau
श्रेणी: 5

उसी दिन, व्हाइटबोरो उपयोगकर्ता द्वारा एक और गंभीर अंतर की खोज की गई थी। अन्य उपयोगकर्ताओं के प्रोफाइल के साथ बातचीत करते समय (अतिरिक्त जानकारी प्रदर्शित करते हुए, किसी भी क्रिया को निष्पादित करते हुए), क्यूआईडी पैरामीटर (वर्तमान उपयोगकर्ता आईडी) इस उपयोगकर्ता की आईडी का संकेत देते हुए अनुरोध मापदंडों में पारित किया गया था।

 GET http://badoo.com/ws/profile-ws.phtml?section=pimore&cuid=31337

इन इंटरैक्शन को उसी नियंत्रक के माध्यम से किया गया था जो प्रोफ़ाइल को संपादित करने के लिए जिम्मेदार था, मतभेद केवल एक्शन एक्शन में थे, और व्हाइटबोरो ने उपयोगकर्ता के संपादन अनुरोध के लिए एक मनमाना मूल्य के साथ इस उपयोगकर्ता के पैरामीटर को जोड़ने की कोशिश की।

 POST http://badoo.com/ws/profile-ws.phtml ... section=interested_in&interested_in_text=cats&cuid=31337

यह पता चला है कि प्रोफ़ाइल को संपादित करते समय वर्तमान उपयोगकर्ता आईडी के अनुपालन के लिए इस पैरामीटर की जांच करना। इसलिए हमें दूसरी महत्वपूर्ण भेद्यता मिली।

टिप्पणी सफ़ेद रंग की

ऐसी त्रुटियां अक्सर बड़ी परियोजनाओं पर पाई जाती हैं। और विशेष रूप से परियोजनाओं पर सक्रिय रूप से अजाक्स के साथ काम करना। सुपरग्लोबल php वेरिएबल्स के साथ भ्रम होता है: डेवलपर्स अधिक सटीक $ _GET, $ _POST या $ _COOKIE के बजाय http अनुरोध के सभी चर के साथ $ _REQUEST का उपयोग करते हैं। नतीजतन, एक हमलावर पोस्ट में वांछित चर को प्रतिस्थापित करके या अनुरोध प्राप्त करके आसानी से कोड को अक्षम कर सकता है। स्क्रिप्ट प्रतिस्थापन की सूचना नहीं देगा।

साइट के सभी पृष्ठों पर क्लिक करने (BSI-9)
द्वारा पोस्ट: यूजीन Farfel
श्रेणी: 1

हमें अनियंत्रित, लेकिन दिलचस्प कमजोरियों की रिपोर्ट भी मिली। उनमें से एक साइट के सभी पृष्ठों पर तथाकथित क्लिकजैकिंग (अंग्रेजी क्लिकजैकिंग) आयोजित करने की क्षमता थी।
इस शब्द का पहली बार जेरेमिया ग्रॉसमैन द्वारा 2008 में उपयोग किया गया था, लेकिन अब तक इस भेद्यता के महत्व और परिणामों के बारे में बहुत कम लोगों ने सोचा है। क्लिकजैकिंग क्या है? जैसा कि ओडब्ल्यूएएसपी कहता है, "क्लिकजैकिंग, जिसे" यूआई निवारण हमला "के रूप में भी जाना जाता है, वह यह है कि जब कोई हमलावर किसी उपयोगकर्ता को बटन या लिंक पर क्लिक करने के लिए कई पारदर्शी या अपारदर्शी परतों का उपयोग करता है, जब वे उस पर क्लिक करने का इरादा रखते थे। शीर्ष स्तर पृष्ठ "।

सीधे शब्दों में कहें, तो आप अपने कुछ तत्वों को पारदर्शी div टैग से ओवरराइड करके एक iframe के अंदर एक साइट दिखा सकते हैं जिसमें क्लिक हैंडलर होते हैं। इस प्रकार, आप एक असुरक्षित उपयोगकर्ता को मनमाना कार्य करने के लिए बाध्य कर सकते हैं।

संरक्षण के सर्वोत्तम ज्ञात तरीकों में से एक को फ्रेमबस्टिंग कहा जाता है। यह जावास्क्रिप्ट का उपयोग करके iframe के अंदर खुलने वाले पृष्ठ की जाँच करता है। यदि वर्तमान पृष्ठ का पता ब्राउज़र के एड्रेस बार में लिखे गए से अलग है, तो एक रीडायरेक्ट किया जाता है:

 var frameBusted = (top != self); if (frameBusted) top.location.href = '/index.htm';

जैसा कि बाद में पता चला, इस पद्धति को अधिकांश आधुनिक ब्राउज़रों में बायपास किया जा सकता है:

 <iframe sandbox src="http://badoo.com/></iframe>

इसलिए, 2009 के बाद से, सभी आधुनिक ब्राउज़रों (यहां तक कि IE) ने एक्स-फ्रेम-ऑप्शंस हेडर का समर्थन किया है, जिसमें आप एक iframe के अंदर किसी साइट को एम्बेड करने पर पूरी तरह से प्रतिबंध लगा सकते हैं, या केवल डोमेन की एक विशिष्ट सूची के लिए इस कार्यक्षमता को सक्षम कर सकते हैं।

क्या आपकी साइट क्लिकजैकिंग से सुरक्षित है?

यूजीन फारफेल द्वारा टिप्पणी

आज, लगभग सभी इंटरनेट संसाधन समान Clickjacking कमजोरियों के लिए अतिसंवेदनशील हैं। उन्हें खोजने की प्रक्रिया विशेष रूप से जटिल नहीं है, एक सामान्य नियम है - यदि कोई संसाधन अपनी प्रतिक्रियाओं में एक्स-फ़्रेम-विकल्प हेडर का उपयोग नहीं करता है, तो विभिन्न प्रकार के फ़िशिंग पृष्ठों के बाद के निर्माण के साथ इसे एक फ्रेम में एम्बेड करने की क्षमता का अस्तित्व लगभग गारंटी है। इस प्रकार, HTTP हेडर देखने के परिणामों से भेद्यता को पहले ही पाया जा सकता है।
Badoo द्वारा उपयोग की जाने वाली .js फाइलों की जांच से पता चला है कि window.top.location प्रॉपर्टी को बदलने का एक सामान्य लेकिन गलत तरीका फ्रेमवर्क से बाहर निकलने के लिए उपयोग किया गया था। इस पद्धति का उपयोग करते समय, फ़्रेम में एम्बेड एम्बेड करने वाले पृष्ठ को एक ऑनलोड घटना प्राप्त हुई और काउंटरमेसर ले सकते हैं। इस तरह के उपायों में से एक ब्राउज़र को प्रतिक्रिया कोड 204 के साथ दिए गए पते पर पुनर्निर्देशित करना है। ऐसे URL के लिए अनुरोध ब्राउज़र में नेविगेशन के लिए नहीं होता है (फ्रेम वाला पृष्ठ खुला रहता है), लेकिन स्थान बदलने के लिए शर्त कोड के प्रयास को भी रद्द कर देता है।
पहला फिक्स, जो कि बुश द्वारा पेश किया गया था, ने खाली कोड के साथ फ्रेम के अंदर पेज के शरीर को बदलकर इस कोड को पूरक बनाया। यह ठीक है, हालांकि यह एक फ्रेम में एम्बेड करने की समस्या को हल नहीं करता था, इसमें से सभी सामग्री को हटा दिया और फ़िशिंग पृष्ठों को बनाना असंभव बना दिया। इस फिक्स को आईफ्रेम टैग के सैंडबॉक्स विशेषता का उपयोग करके आसानी से बाईपास किया गया था, जो फ्रेम में जावास्क्रिप्ट को अक्षम करता है।
सिद्धांत रूप में, क्लिकजैकिंग हमलों से बचाव का एकमात्र तरीका सभी पृष्ठों के लिए एक्स-फ्रेम-ऑप्शंस हेडर का उपयोग करना है, जिसके लिए इसे एक फ्रेम में एम्बेड करने का इरादा नहीं है और उन सभी कार्यों की पुष्टि करने के लिए जो पृष्ठों पर सिस्टम की स्थिति को बदलते हैं जिसमें फ्रेम में एम्बेड करना शामिल है।

CSRF और कस्टम ईमेल परिवर्तन (BSI-38)
द्वारा पोस्ट किया गया: ग्रेफाइट
श्रेणी: 3
(इस भेद्यता के बारे में आंशिक रूप से बीएसआई -21, लेखक इल्या किला में है)

यही हम उम्मीद नहीं करते थे, इसलिए ये एक मनमानी उपयोगकर्ता के लिए ईमेल पते को बदलने के तरीके का वर्णन हैं। लेकिन एक दिन में, पासवर्ड पुन: भेजने वाले घटक से संबंधित विभिन्न कमजोरियों के तीन पूरे विवरण भेजे गए, जिनकी मदद से उपयोगकर्ता के मेलबॉक्स को बदलना संभव था, अर्थात् उसके खाते को "अपहरण" करना।
पंजीकरण के दौरान पासवर्ड को फिर से भेजने के लिए एक फॉर्म है, जिसमें आप अपना ईमेल बदल सकते हैं यदि कोई टाइपो उसमें क्रेप है। यह पता चला कि उपयोगकर्ता CSRF का उपयोग करके पहले से पुष्टि किए गए मेलिंग पते को भी बदल सकता है:

 <form action=http://eu1.badoo.com/not_confirmed/" method="post" id="form"> <input type="hidden" name="post" value="1" /> <input type="hidden" name="newemail" value="attacker@somemail.com" /> <input type="submit" /> </form> <script>$('#form').submit();</script>

भेद्यता को ठीक करने के कई तरीके थे:
1. पुष्टि के लिए एक चेक जोड़ें।
2. एक CSRF टोकन जोड़ें।
3. कैप्चा जोड़ें।
चूंकि मॉड्यूल महत्वपूर्ण है, सभी तीन तरीकों को लागू किया गया था, और जो उपयोगकर्ता कमजोरियां पाए गए थे उन्हें पुरस्कृत किया गया था।

ग्रेफाइट द्वारा टिप्पणी

क्योंकि मैं पहले से परिचित नहीं था, सबसे पहले, मैंने यह पता लगाने का फैसला किया कि सामान्य रूप से यहां क्या किया जा सकता है। विभिन्न ईमेल सेवाओं से संपर्क आयात करने की संभावना पर तुरंत ध्यान आकर्षित किया गया था - मैं यह जांचना चाहता था कि क्या पासवर्ड पुनर्प्राप्ति के लिए अतिरिक्त ई-मेल की सूची में ऐसा पता जोड़ा गया था। काश, परिचय नहीं होता। लेकिन मेरे विचार पहले से ही इस तरह से चले गए हैं और थोड़ी देर बाद मुझे फिर से एक ई-मेल भेजने के रूप में एक गलत ई-मेल के बजाय दूसरे ई-मेल दर्ज करने की क्षमता के साथ पंजीकरण की पुष्टि करने के लिए भेजा गया। इस रूप में CSRF था, लेकिन सबसे आश्चर्य की बात यह थी कि अगर एक प्रमाणीकृत उपयोगकर्ता ने इस फॉर्म को भरा, तो प्रोफ़ाइल में उसका ईमेल पता बदल गया। जाहिर है, इस परिदृश्य में इस बात की कोई जाँच नहीं हुई थी कि उपयोगकर्ता ने पहले से ही अपने ई-मेल की पुष्टि की है या नहीं।

CSRF और लिंकिंग सोशल सोशल नेटवर्किंग अकाउंट (BSI-44)
द्वारा पोस्ट किया गया: चिपिक
श्रेणी: 4

बाहरी संसाधनों के साथ साइट की बातचीत में कमजोरियों का भी पता चला। हमारे पास एक कार्यक्षमता है जो आपको बाहरी फेसबुक, वीके या Google+ खातों के साथ एक प्रोफ़ाइल को संबद्ध करने की अनुमति देती है। उनके माध्यम से, उपयोगकर्ता उपयोगकर्ता नाम और पासवर्ड को याद किए बिना साइट पर लॉग इन कर सकते हैं। एक चिपिक प्रतिभागी ने ताकत के लिए इस एल्गोरिथ्म का परीक्षण किया और इसे ट्रिक करने का एक तरीका पाया।
फ़ायरफ़ॉक्स के लिए टैम्पर डेटा प्लगइन का उपयोग करना, आप बाहरी खाते को बांधने के लिए अनुरोध को रोक सकते हैं और OAuth प्राधिकरण टोकन प्राप्त कर सकते हैं। यदि, CSRF का उपयोग करते हुए, एक हमलावर अधिकृत उपयोगकर्ता को इस टोकन के साथ लिंक पर क्लिक करने के लिए मजबूर करता है, तो उसका खाता हमलावर के बाहरी खाते से बंध जाएगा और बाद वाले को उस उपयोगकर्ता के रूप में लॉग इन करने की अनुमति देगा। सबसे सुरक्षित समाधान सत्र-अद्वितीय CSRF टोकन को खाते से जुड़े सभी परिचालनों में जोड़ना था।

चिपिक द्वारा टिप्पणी

धन्यवाद ई.के. प्रति वेक्टर :)

हम आपको याद दिलाते हैं कि 19 अप्रैल तक आवेदन स्वीकार किए जाते हैं और आपके पास अभी भी प्रतियोगिता में भाग लेने, पुरस्कार प्राप्त करने और हमारे मंच को सुरक्षित बनाने में मदद करने का मौका है।
प्रतियोगिता के अंत के बाद, हम 3 सबसे सक्रिय प्रतिभागियों का चयन करेंगे और उन्हें अतिरिक्त 1,000 पाउंड देंगे।
और हमारे पास प्रतियोगिता के प्रतीकों के साथ 50 शांत टी-शर्ट भी हैं और जूरी द्वारा हस्ताक्षरित धन्यवाद पत्र, जिसे हम सबसे सक्रिय प्रतिभागियों को वितरित करेंगे।

शक्ति के लिए हमें परीक्षण करते रहें!

स्टैनिस्लाव एरेमिन और सगाई विकास टीम

भेद्यता प्रतियोगिता, या मुझे पूरी तरह से तोड़!

हम प्रतियोगिता के लिए कैसे तैयार ...

... और उन्होंने कैसे तैयारी नहीं की।

खरीद पर प्रसंस्करण ऋण में कमजोरता (BSI-13)निकोले इर्मिशकिन (असद) द्वारा पोस्टश्रेणी: 5

प्रोफ़ाइल डेटा बदलते समय ग़लतफ़हमी (BSI-12)पोस्ट करनेवाले: whitebureauश्रेणी: 5

साइट के सभी पृष्ठों पर क्लिक करने (BSI-9)द्वारा पोस्ट: यूजीन Farfelश्रेणी: 1

CSRF और लिंकिंग सोशल सोशल नेटवर्किंग अकाउंट (BSI-44)द्वारा पोस्ट किया गया: चिपिकश्रेणी: 4

More articles:

खरीद पर प्रसंस्करण ऋण में कमजोरता (BSI-13)
निकोले इर्मिशकिन (असद) द्वारा पोस्ट
श्रेणी: 5

प्रोफ़ाइल डेटा बदलते समय ग़लतफ़हमी (BSI-12)
पोस्ट करनेवाले: whitebureau
श्रेणी: 5

साइट के सभी पृष्ठों पर क्लिक करने (BSI-9)
द्वारा पोस्ट: यूजीन Farfel
श्रेणी: 1

CSRF और लिंकिंग सोशल सोशल नेटवर्किंग अकाउंट (BSI-44)
द्वारा पोस्ट किया गया: चिपिक
श्रेणी: 4