Loto.ro, ai niste fisiere interesante pe host. De ce nu dezactivezi directory listing?
loto.ro
Black Friday eMAG
I’m back.
Pe emag.ro e Black Friday in fiecare zi. Intra pe link-ul urmator si o sa iti adauge in cos oferta pe care au avut-o la abonamentul Genius de Black Friday 2021. Primesti 18 luni la pretul de 12.
https://www.emag.ro/addtocart--emag-club8754079Concurs Cereale Nestle
Nestle, de ce nu pui un captcha in formularul tau de concurs? Qualifio permite acest lucru.
Cu un script simplu oricine poate genera intrari valide in concurs.
Garantie extinsa pe eMAG
Garantia la majoritatea produselor pe eMAG este de 24 de luni iar la anumite produse o poti extinde cu inca 24 de luni. Problema este ca pe masura ce pretul produsului creste si garantia extinsa costa mai mult.
De exemplu, pentru un Apple MacBook, garantia extinsa pe 2 ani poate sa fie si 1000 de lei.
Daca ti-ai luat MacBook de 10 mii de lei si te zgarcesti sa mai dai 1000 de lei pe garantie extinsa sa stii ca poti sa o cumperi semnificativ mai ieftin, chiar si cu ~150 de lei.
@eMAG, dati un e-mail (adresa in footer) daca aveti nevoie de ajutor in identificarea bug-ului.
@Ceilalti, dati un e-mail inainte de eMAG daca aveti nevoie de garantie 😉
Pledgebox, Kickstarter si protectia datelor
Pentru cine nu cunoaste, Kickstarter este o platforma de crowdfunding. Ai o idee geniala pentru un gadget sau app dar nu ai bani pentru a o implementa? Incarci proiectul impreuna cu o prezentare frumoasa si astepti ca oamenii sa il finanteze, primind in schimbul banilor acel produs.
Fiindca Kickstarter nu ofera o solutie completa pentru gestionarea intregii campanii, au aparut solutii third-party care fac acest lucru. Una din ele este Pledgebox.
Problema apare atunci cand ai nevoie sa transferi datele campaniei (de la descrierea campaniei, toate reward-urile pana la lista cu toti oamenii care au sustinut acel proiect). Pentru a face acest transfer Pledgebox are nevoie de adresa de e-mail si parola contului creator de pe Kickstarter.
Pledgebox, fara vreun motiv clar, a ales sa ofere aceste date de logare tuturor. Practic, toti creatorii de campanii de pe Kickstarter dar si de pe Indiegogo (platforma similara de crowdfunding) care au folosit Pledgebox au datele de login vizibile oricui viziteaza Pledgebox.com si arunca un ochi mai bine pe acolo.
Nu inteleg de ce face asta dar consecintele sunt extrem de grave fiindca este vorba de datele personale ale tuturor oamenilor care participa la acele campanii.
Solutiile ar trebui sa vina din partea tuturor partilor implicate. Pledgebox sa nu mai ofere aceste informatii, Kickstarter sa adauge autentificarea in doi pasi ca standard pentru toate conturile si sa implementeze un API bazat pe token-uri limitate la anumite adrese IP. Astfel poti trage datele in siguranta, fara a mai avea nevoie de un mail si o parola.
EN:
For anyone who doesn’t know, Kickstarter is a crowdfunding platform. Got an idea for a gadget or a app but don’t have the money to make it? Load the project, put a nice description and wait for the people to fund it, in exchange giving them that product.
Because Kickstarter doesn’t offer a complete solution for managing the campaign, a lot of third-party website now help you manage it. One of them is Pledgebox.
The problem is when you need to transfer all of the Kickstarter campaign into Pledgebox (campaign description, reward tiers, list of all the people who funded the project). To do this, Pledgebox needs the e-mail address and password for the creator account on Kickstarter.
Pledgebox, without any reason, chose to offer the data to anyone. Basically, all campaign creators from Kickstarter or Indiegogo (a similar crowdfunding platform) who used Pledgebox have their login data visible to anyone who visits Pledgebox.com and takes a closer look.
I don’t know why you’d do this but the consequences are serious because it involves personal data of all backers.
To solve this, both parties need to change things. Pledgebox should stop offering emails and passwords to anyone, Kickstarter shoud add 2FA by default to any account and should create an API based on tokens valid only for specific IP addresses. This way you can pull data without needing an e-mail and password.
Pescuitul pe OLX
OLX a fost si va fi platforma cea mai cunoscuta unde oamenii de rand isi pun la vanzare obiectele de prin casa dar si unde “baietii destepti” incearca sa pescuiasca cardurile de credit ale acestora.
Din pacate, degeaba ne laudam cu cresteri anuale ale ecommerce-ului in Romania cand omul cu cardul nu este instruit cum trebuie sa il foloseasca in siguranta. Nu este de ajuns sa i se spuna “Nu divulga datele cardului altor persoane”.
In ultima vreme OLX este tinta unor atacuri de tip phishing din partea unor astfel de baieti destepti. Atacurile par sa provina din zona Rusiei sau cel putin acolo sunt gazduite site-urile.
Site-ul in cauza este practic o copie a homepage-ului Fancourier.ro cu cateva sectiuni in plus, gazduit bineinteles pe alt domeniu. La prima vedere pare credibil dar il da de gol greselile gramaticale.
Mecanismul este simplu. Asa-zisul cumparator spune ca plateste produsul la OLX si transmite vanzatorului un link (generat de OLX cică) catre site-ul Fancourier. Ca sa isi ia banii, vanzatorul trebuie sa completeze formularul cu datele cardului.
Aici, naivul, crezand ca primirea de bani se poate face si folosind numarul cardului, completeaza formularul cu datele complete.
Ce m-a uimit este ca la pasul urmator te intreaba de sold-ul contului. Deh, trebuie sa stie si cat poate sa pescuiasca de la tine maxim.
Ultimul pas, cel mai important practic, este sa introduci codul pe care l-ai primit prin SMS.
Cat timp tu tastezi soldul contului, atacatorul va face o achizitie cu valoarea produsului din anunt si te pune sa ii dai codul pe care l-ai primit prin SMS ca sa finalizeze achizitia.
Dupa ce ai trimis codul o sa iti apara o “eroare” cum ca datele pe care le-ai trimis nu sunt corecte.
Tu ramai fara bani, fara sa fi vandut produsul iar atacatorul are datele cardului tau dar si soldul de la momentul respectiv. Posibil sa incerce curand sa faca o alta achizitie doar ca trebuie sa mai faca putin social engineering ca sa obtina codul primit prin SMS si a doua oara.
Noi, cei care suntem mai tehnici, putem sa le dam de lucru unor astfel de atacatori.
In cazul de fata am facut un script care sa ii spameze continuu baza de date. Fiecare posibil atac foloseste un URL la care difera id-ul. Un loop prin toate aceste id-uri rulat la infinit, impreuna cu niste date generate aleator pentru carduri, o sa ii dea de lucru putin.
Apoi, verificam ip-ul din spatele domeniului, cautam providerul si ii dam un mail in care sa ii explicam la ce foloseste acel domeniu. Daca providerul este serios, il va bloca destul de repede. In tot acest timp, scriptul ii va umple baza de date cu inregistrari false.
Daca ai fost naiv si te-ai lasat pacalit de astfel de specimene, doar banca mai te poate ajuta. Din pacate politia nu are instrumentele necesare pentru a rezolva astfel de cazuri.