👨🏿‍🚒 🚔 🖕🏾 मैंने स्कैमर को कैसे हैक किया, या फ़िशिंग पैनलों के केवल अंदरूनी हिस्से 👩🏾‍⚕️ 🎉 🐏

परिचय

हाल ही में मैं इंटरनेट के लिए एक सामान्य स्थिति में आया था - एक रिश्तेदार से एक क्लासिक अनुरोध उसके लिए किसी तरह का वोट देने के लिए। यह पता चला कि आदमी स्कैमर द्वारा "हैक" किया गया था, और वोट के लिंक फ़िशिंग संसाधनों के लिए थे।

मैं सुरक्षा का शौकीन हूं, इसलिए मैंने फ़िशिंग संसाधन की सुरक्षा की जाँच रुचि से करने का निर्णय लिया।

स्कैमर के व्यवस्थापक पैनल को सफलतापूर्वक हैक किया गया था, अंदर चोरी के खातों की संख्या थी। उनके लॉगिन को वीके सुरक्षा सेवा में स्थानांतरित कर दिया गया, साथ ही संबंधित "दुरुपयोग" शिकायतों को रजिस्ट्रार, होस्टरों को भेजा गया।

और अब मैं आपको बताता हूँ कि फ़िशिंग-एज़-सर्विस पैनल कैसे और क्या होते हैं ...

यह सब हमेशा की तरह शुरू हुआ, किसी रिश्तेदार से उसके लिए किसी तरह का वोट डालने का अनुरोध:

रिश्तेदार:
हाय, मैं सिर्फ जीतना चाहता हूं :) http://x-vote.ru/votes/701738#vote

वास्तव में, सबसे अधिक संभावना है कि इस तरह के अनुरोध को नजरअंदाज कर दिया जाएगा, लेकिन सुरक्षा के दृष्टिकोण से, रेस की स्थिति को वोट करने के लिए जाँच करने में रुचि थी - क्या 1 खाते के लिए कुछ ही समय में उन्हें कई बार भेजकर वोट डालना संभव होगा।

, . , , , Oauth , .

, , .

, Race Condition , , , , , - - .

, , , - , , , , / "" HTML+JS, Blind XSS. , — / .

xsshunter — . XSS, :

url, ;
IP;
Cookie;
Dom-;
… . , , , VPS.

, blind XSS- .

, XSS " " ( document.cookie).

, — "httpOnly", JS.

XSS , - API , (), .

, "" .

, , .

, , , — .

. bootstrap , , :

API:

IP.

, , :

, :

… .

API , , , , .., execute.getDialogsWithProfilesNewFixGroups.php, :
https://vk.com/dev/execute

— VK .

access-, , .

GET /method/execute.getDialogsWithProfilesNewFixGroups?access_token=****b750be150c961c******ace8d9dd54e448d5f5e5fd2******7e21388c497994536a740e3a45******&lang=ru&https=1&count=40&v=5.69 HTTP/1.1
Host: vk-api-proxy.xtrafrancyz.net

HTTP/1.1 200 OK
Date: Tue, 03 Mar 2020 09:57:08 GMT
Content-Type: application/json; charset=utf-8
Connection: close
Vary: Accept-Encoding
Server: vk-proxy
X-Powered-By: PHP/3.23359
Cache-Control: no-store
X-Frame-Options: DENY
Access-Control-Allow-Origin: *
Content-Length: 57453

{"response":{"a":{"count":271,"unread_dialogs":151,"items":[{"message":{"id":592***,"date":1583222677,"out":0,"user_id":14967****,"read_state":1,"title":"","body":"  : 063725.","owner_ids":[]},"in_read":592***,"out_read":592***}

, . , — "" , . , + , , .

, , , , .

, , ?

-, , , , , : , , blind xss , VK Bo0oM, , , , .

complaint' . cloudflare', . , , , . - Cloudflare , https://www.cloudflare.com/abuse/form, — 1 url ¯ \ (ツ) / ¯

— 10 .

, , .

UPD: QIWI Yandex, .

मैंने स्कैमर को कैसे हैक किया, या फ़िशिंग पैनलों के केवल अंदरूनी हिस्से

परिचय

More articles: