Найдена существенная уязвимость на **** терминалах оплаты через **** кошелёк, по сути: Взлом **** кошелька! Всё началось сегодня с того, что мне нужно было пополнить ****-кошелёк и потом через Интернет оплатить с него за хостинг. Я как честный гражданин, без злых умыслов – подошёл к терминалу ****, выбрал КОШЕЛЁК, ввёл номер своей мобилы и пароль. Пополнил счёт наличными, нажал выход и вышел из системы оплаты. Но, я, обычно всегда забираю чек – и это самое главное, и вы сейчас поймёте почему это ОБЯЗАТЕЛЬНО НУЖНО ДЕЛАТЬ! (Ни в коем случае не выкидывать на месте, возле терминала)Что было дальше… Обычно, я обезапашиваю себя. Когда выхожу из “**** Кошелька”, потом снова нажимаю на него и ввожу несуществующий номер мобильного, например: 89272326462 – захожу без пароля (естейственно, как и должно быть – ведь пароль только на зарегистрированных кошельках) пусто и нажимаю выход: как бы сессию и куки терминала на новые, т.е. последние сессии – будут уже удалены – это так, на всякий случай делаю! (Вдруг что… или вас пасут кибер-гопники…)Всё. Я всё оплатил, вышел из системы. И подстраховался “левым” номером даже. Вижу, на автомате (на **** терминале – валяется чек см.фото) Чек тот же – от оплаты через **** Кошелёк (как и у меня). Блин, дай думаю попробую: нажимаю **** Walet (Оплата через мобильный кошелёк) и ввожу, номер в поле с найденого чека: 89272326462 и Опппа!!!!! Захожу в кошелёк без пароля, некого: Фаттахова Айнака Каилевича – справа красуется надпись: На вашем балансе 18,23 копейки!!! Глазам своим не верю. И окошечко: Ваши последние оплаты, номер: 89272326462! Справа иконка со знаком “+” и написано – добавить номер для оплаты! ВВожу свой: XXXXXX Оплатить: Да? Нет? Введите сумму: Пишу 18 рублей! Выполнено! Бряк: SMS Баланс вашего номера пополнен на 18 рубл. **** Walet! Вот это номер! Подумал я! В цирке такого не видел! Бля, иду на другой терминал, с утра – ищу в мусорке чеки от **** Кошелька! Нахожу ещё и ещё! (Длинный такой чек – не путайте с чеком на обычное пополнение номера!) Ввожу номер с чека – точно также через **** Walet (Оплата через Мобильный кошелёк): 89031252538! Захожу без пароля – На вашем счету: 0,18 копеек написано справа вверху! Эх, не повезло! Жесть ваще парни! PS: Получается, что если Клиент один раз: за время хранения сессии или(и) кукиз авторизовался до вас (в этот день) вы сразу после него тут же можете зайти к нему в Кабинет по его номеру без пароля – сразу после его ухода! Это пипец! Причём, когда что-то оплачиваешь именно с терминала – SMS подтверждения не требуется – оплата происходит мгновенно! Это офигеть ДЫРА!!!!!! Вот это фича! Т.е. вход на **** без пароля, а кнопка ВЫХОД – это лишь фикция типа редиректа на морду терминала! (Эту “фикцию выхода” слышно иногда по характерным двум щелчкам – как из браузера javascript:History.Back(); типа)
я сегодня с другом ходил по магазам нашел значит заветный **** с чеком прям по заказу) ввел номер зашло на чей то кошелек там было 2.9 к так мы зассали куда либо их вывести)))) и тупо ушли, есть разумные идеи куда сливать деньги можн?
Переведи их на левую симку,потом создай левый вебмани и привяжи этот номер к нему и переведи с мобильного на вебмани и трать их)