ブラックハットUSAカンファレンス。 金持ちになるか死ぬか: ブラックハット手法を使用してオンラインでお金を稼ぐ。 パート 3

ブラックハットUSAカンファレンス。 金持ちになるか死ぬか: ブラックハット手法を使用してオンラインでお金を稼ぐ。 パート 1
ブラックハットUSAカンファレンス。 金持ちになるか死ぬか: ブラックハット手法を使用してオンラインでお金を稼ぐ。 パート 2

彼らはUPSの運転手を容疑者と対峙させる可能性まで議論した。 このスライドで引用されている内容が合法かどうかを確認してみましょう。

「注文していない商品を返品するべきか、それとも代金を支払うべきか?」という質問に対する FTC の答えは次のとおりです。 - "いいえ。 注文していない商品を受け取った場合、あなたにはそれを無料のギフトとして受け取る法的権利があります。」 これは倫理的だと思いますか? 私はそのような問題について議論できるほど賢くないので、この件には手を洗っています。

しかし興味深いのは、使用するテクノロジーが減れば減るほど、より多くの収益が得られるという傾向が見られることです。

アフィリエイトインターネット詐欺

ジェレミー・グロスマン: 理解するのは非常に難しいですが、この方法でXNUMX桁のお金を稼ぐことができます。 したがって、あなたが聞いたすべての話には実際のリンクがあり、それについてすべて詳しく読むことができます。 インターネット詐欺の最も興味深い種類の XNUMX つはアフィリエイト詐欺です。 オンライン ストアと広告主は、アフィリエイト ネットワークを使用して、そこから得られる利益の一部と引き換えにトラフィックとユーザーをサイトに引きつけます。

これからお話しするのは、多くの人が何年も前から知っていることについて話しますが、この種の詐欺がどれほどの損失を引き起こしたかを示す公的参考資料を XNUMX つも見つけることができませんでした。 私の知る限り、訴訟も犯罪捜査もありませんでした。 私は製造業の起業家、アフィリエイト ネットワークの担当者、ブラック キャッツと話をしましたが、彼らは皆、詐欺師がアフィリエイトで巨額の利益を得ていると信じています。

私の言葉を信じて、これらの特定の問題について私が行った宿題を見直してください。 詐欺師は、特別なテクニックを使用して、毎月 5 ～ 6 桁、場合によっては XNUMX 桁の金額を稼ぐためにこれらを使用します。 この部屋には、機密保持契約に拘束されなければ、これを確認できる人がいます。 それでは、それがどのように機能するかを説明します。 この計画には複数のプレーヤーが関与しています。 次世代のアフィリエイト「ゲーム」が何であるかがわかります。

このゲームには、Web サイトまたは製品を所有し、ユーザーのクリック、アカウントの作成、購入などに対してアフィリエイト手数料を支払う販売者が関与します。 あなたは、誰かがアフィリエイトの Web サイトにアクセスし、リンクをクリックし、販売者の Web サイトにアクセスしてそこで何かを購入するという事実に対してアフィリエイトに支払います。

次のプレーヤーはアフィリエイトであり、購入者を販売者の Web サイトにリダイレクトするためのクリック単価 (CPC) または手数料 (CPA) の形式でお金を受け取ります。

手数料は、パートナーの活動の結果として、クライアントが販売者のウェブサイトで購入を行ったことを意味します。

買い手とは、売り手の株式を購入または購読する人です。

アフィリエイト ネットワークは、販売者、パートナー、購入者の活動を接続し、追跡するテクノロジーを提供します。 これらはすべてのプレイヤーを「接着」し、相互作用を保証します。

すべての仕組みを理解するには数日から数週間かかるかもしれませんが、複雑なテクノロジーは必要ありません。 アフィリエイト ネットワークとアフィリエイト プログラムは、あらゆる種類の取引とあらゆる市場をカバーします。 Google、EBay、Amazon も彼らを抱えており、手数料代理人としての利害が交差しており、彼らはどこにでもいて、収入に欠けることはありません。 ブログからのトラフィックだけでも毎月数百ドルの利益が得られることはご存知かと思いますので、このスキームは簡単に理解できるでしょう。

これがシステムの仕組みです。 小さなサイトや電子掲示板をアフィリエイトするかどうかは問題ではありません。アフィリエイト プログラムに署名し、インターネット ページに配置する特別なリンクを受け取ります。 次のようになります。

<a href=”http://AffiliateNetwork/p? program=50&affiliate_id=100/”>really cool product!</a>

これには、特定のアフィリエイト プログラム、アフィリエイト ID (この場合は 100)、および販売されている製品の名前が表示されます。 そして、誰かがこのリンクをクリックすると、ブラウザはそのユーザーをアフィリエイト ネットワークにリダイレクトし、そのユーザーをアフィリエイト ID=100 にリンクする特別な追跡 Cookie をインストールします。

Set-Cookie: AffiliateID=100

そして販売者のページにリダイレクトされます。 その後、購入者が期間 X (XNUMX 日、XNUMX 時間、XNUMX 週間、その他の合意された時間) 内に何らかの製品を購入し、この期間中 Cookie が存在し続けた場合、アフィリエイトはコミッションを受け取ります。

これが、アフィリエイト会社が効果的な SEO 戦略を使用して数十億ドルを稼ぐ方法です。 例を挙げてみましょう。 次のスライドは領収書を示しています。金額を示すために拡大します。 これは Google からの 132 ドルの小切手です。 この紳士の姓はシューマンで、広告ウェブサイトのネットワークを所有しています。 これが全額ではなく、Google は月に 2 回または XNUMX か月に XNUMX 回、このような金額を支払います。

Google からの別の小切手です。拡大してみましょう。901 万 XNUMX ドルであることがわかります。

このようにお金を稼ぐことの倫理について誰かに尋ねるべきでしょうか？ ホール内は沈黙... 前回の小切手は支払額が大きすぎるため受取人の銀行によって拒否されたため、この小切手は 2 か月分の支払いを表します。

したがって、この種のお金が生み出され、このお金が支払われていることがわかりました。 どうすればこの計画を打ち破ることができるでしょうか？ Cookie-Stuffing と呼ばれる手法を使用できます。 これは 2001 年から 2002 年にかけて登場した非常にシンプルなコンセプトですが、このスライドは 2002 年の様子を示しています。その登場までのストーリーをお話します。

アフィリエイト ネットワークの利用規約は、ブラウザがアフィリエイト ID Cookie を取得するために、ユーザーが実際にリンクをクリックすることを要求する厄介なものです。
この通常クリックされる URL を画像ソースまたは iframe タグに自動的にロードできます。 この場合、リンクの代わりに次のようにします。

<a href=”http://AffiliateNetwork/p? program=50&affiliate_id=100/”>really cool product!</a>

これをダウンロードします:

<img src=”http://AffiliateNetwork/p?program=50&affiliate_id=100/”>

またはこれ：

<iframe src=”http://AffiliateNetwork/p?program=50&affiliate_id=100/”
width=”0” height=”0”></iframe>

ユーザーがあなたのページにアクセスすると、アフィリエイト Cookie が自動的に取得されます。 同時に、彼が将来何かを購入するかどうかに関係なく、トラフィックをリダイレクトしたかどうかにかかわらず、あなたはコミッションを受け取ります。それは問題ではありません。

ここ数年、これは、掲示板に同様の内容を投稿し、他の場所にリンクを配置するためのあらゆる種類のシナリオを考え出す SEO 担当者にとっての娯楽となっています。 積極的なパートナーは、自社のサイトだけでなく、インターネット上のどこにでもコードを配置できることに気づきました。

このスライドでは、ユーザーが独自の「詰め込みクッキー」を作成できるようにする独自の Cookie-Stuffing プログラムがあることがわかります。 また、それは 20 つの Cookie だけではなく、30 ～ XNUMX のアフィリエイト ID を同時にアップロードすることができ、誰かが何かを購入するとすぐに、その代金が支払われます。

彼らはすぐに、このコードを自分のページに置く必要がないことに気づきました。 彼らはクロスサイト スクリプティングを放棄し、HTML コードを含む小さなスニペットを掲示板、ゲストブック、ソーシャル ネットワークに投稿し始めました。

2005 年頃、販売業者とアフィリエイト ネットワークは何が起こっているのかを把握し、参照元とクリックスルー率を追跡し始め、疑わしいアフィリエイトを排除し始めました。 たとえば、ユーザーが MySpace サイトをクリックしたが、そのサイトは正当な特典を受けているネットワークとはまったく異なるアフィリエイト ネットワークに属していることに気づきました。

彼らは少し賢くなって、2007 年に新しい種類の Cookie-Stuffing が登場しました。 パートナーは、SSL ページにコードを配置し始めました。 ハイパーテキスト転送プロトコル RFC 2616 によれば、参照ページが安全なプロトコルから移行された場合、クライアントは安全でない HTTP リクエストに Referer ヘッダー フィールドを含めるべきではありません。 これは、この情報がドメインから漏洩したくないためです。

このことから、パートナーに送信されたリファラーは追跡できないことは明らかです。そのため、メインパートナーには空のリンクが表示され、そのためにあなたを追い出すことができなくなります。 現在、詐欺師は何の罰も受けずに「中身入りクッキー」を作成する機会を得ています。 確かに、すべてのブラウザでこれができるわけではありませんが、ブラウザの現在のページの自動更新メタ更新、メタ タグ、または JavaScript を使用して同じことを行う方法は他にもたくさんあります。

2008 年に、DNS リバインディング攻撃、Gifar、悪意のある Flash コンテンツなど、既存のセキュリティ モデルを完全に破壊する可能性のある、より強力なハッキング ツールの使用を開始しました。 Cookie スタッフィングの担当者は特に高度なハッカーではなく、コーディングの知識がほとんどない単なる攻撃的なマーケティング担当者であるため、その使用方法を理解するのに時間がかかります。

準アクセシブルな情報の販売

さて、6 桁の金額を稼ぐ方法について見てきましたが、今度は XNUMX 桁の金額に移りましょう。 私たちは金持ちになるか死ぬかに大金が必要です。 半入手可能な情報を販売してお金を稼ぐ方法を見てみましょう。 Business Wire は数年前に非常に人気がありましたが、今でも重要であり、多くのサイトでその存在が確認されています。 知らない人のために説明すると、Business Wire は、サイトの登録ユーザーが数千の企業から最新のプレス リリースをストリームで受け取るサービスを提供しています。 プレスリリースはさまざまな組織から当社に送信されますが、一時的な禁止や禁輸措置の対象となる場合があるため、これらのプレスリリースに含まれる情報が株価に影響を与える可能性があります。

プレス リリース ファイルは Business Wire Web サーバーにアップロードされますが、禁輸措置が解除されるまでリンクされません。 その間、プレス リリース Web ページはメイン Web サイトにリンクされており、ユーザーには次のような URL によって通知されます。

http://website/press_release/08/29/2007/00001.html http://website/press_release/08/29/2007/00002.html http://website/press_release/08/29/2007/00003.htm

したがって、禁輸措置を受けている間は、禁輸措置が解除されるとすぐにユーザーがすぐにそのデータに慣れるように、興味深いデータをサイトに投稿します。 これらのリンクには日付が付けられ、電子メールでユーザーに送信されます。 禁止期限が切れると、リンクは機能し、対応するプレスリリースが掲載されているサイトにユーザーを誘導します。 プレス リリース Web ページへのアクセスを許可する前に、システムはユーザーが合法的にログインしていることを確認する必要があります。

禁輸措置が終了する前にこの情報を表示する権利があるかどうかはチェックされず、システムにログインするだけで十分です。 ここまでは無害に見えますが、何かが見えないからといって、それが存在しないわけではありません。

エストニアの金融サービス会社 Lohmus Haavel & Viisemann は、ハッカーではありませんが、プレス リリースの Web ページに予測可能な方法で名前が付けられていることを発見し、それらの URL を推測し始めました。 禁輸措置が実施されているためリンクがまだ存在していない可能性がありますが、これはハッカーがファイル名を推測できないため、時期尚早にファイルにアクセスできることを意味するものではありません。 Business Wire の唯一のセキュリティ チェックは、ユーザーが合法的にログインしているかどうかだけであり、それ以外は何もチェックしなかったため、この方法が機能しました。

したがって、エストニア人は市場が閉まる前に情報を受け取り、このデータを売却しました。 SEC が彼らを追跡してアカウントを凍結するまで、彼らは準アクセス可能な情報の取引でなんとか 8 万ドルを稼いでいました。 考えてみてください、彼らがやったことは、リンクがどのように見えるかを調べ、URL を推測しようとして、それで 8 万儲けたことだけです。 通常、この時点で私は聴衆に、これが合法か違法か、取引とみなされるかどうかを尋ねます。 しかし今のところ、誰がこれを行ったのかに注目していただきたいと思います。

これらの質問に答える前に、次のスライドをご覧ください。 これはオンライン詐欺とは直接関係ありません。 ウクライナのハッカーがビジネスインテリジェンスプロバイダーのトムソン・ファイナンシャルをハッキングし、情報が金融市場に出回る数時間前にIMSヘルスの経営危機に関するデータを盗んだ。 彼がハッキングの罪を犯していることは疑いの余地がありません。

ハッカーはレートが下がる前に42ドルの売り注文を出しました。 ウクライナにとってこれは莫大な金額であるため、ハッカーは自分が何をしようとしているのかをよく知っていました。 株価の突然の下落により、彼は数時間以内に約 300 万ドルの利益を得ました。 取引所は「危険信号」を発し、SECは何か問題が起こっていることに気づき、資金を凍結し、調査を開始した。 しかし、ナオミ・ライス・ブッフヴァルト判事は、ドロシュコ氏による「窃盗と取引」および「ハッキングと取引」の容疑は証券法に違反しないため、資金の凍結は解除されるべきだと述べた。 ハッカーはこの会社の従業員ではなかったため、財務機密情報の開示に関するいかなる法律にも違反しませんでした。

タイムズ紙は、ウクライナ当局に犯人逮捕への協力を同意させるのが難しいため、米国司法省が単にこの事件を無駄なものとみなしただけだと示唆した。 つまり、このハッカーはいとも簡単に 300 万ドルを手に入れたのです。

これを、ブラウザ内のリンクの URL を変更するだけで商業情報を販売することでお金を稼いだ以前のケースと比較してください。 これらは非常に興味深いものですが、証券取引所でお金を稼ぐ唯一の方法ではありません。

受動的な情報収集を考えてみましょう。 通常、オンラインで購入した後、購入者は次のような順序追跡コードを受け取ります。このコードは連続または擬似連続の場合があります。

3200411
3200412
3200413

それを使用すると、注文を追跡できます。 侵入テスターまたはハッカーは、URL をクロールして、通常は個人を特定できる情報 (PII) を含む注文データにアクセスしようとします。

http://foo/order_tracking?id=3200415
http://foo/order_tracking?id=3200416
http://foo/order_tracking?id=3200417

番号をスクロールすることで、購入者のクレジット カード番号、住所、名前、その他の個人情報にアクセスできます。 ただし、私たちはクライアントの個人情報ではなく、注文追跡コードそのものに興味があり、受動的な偵察に興味があります。

結論を引き出す技術

「推論の技術」について考えてみましょう。 四半期末に企業が処理している「注文」の数を正確に見積もることができれば、過去のデータに基づいて、その企業の財務状況が良好かどうか、また株価がどのように変動するかを推測することができます。 たとえば、四半期の初めに何かを注文または購入しましたが、それは問題ではなく、四半期の終わりに新しい注文を行いました。 数値の違いに基づいて、この期間中に会社によって処理された注文の数を結論付けることができます。 前年同期の注文数が XNUMX 万件であるのに対し、注文数が XNUMX 件である場合、会社の業績は悪いと考えることができます。

ただし、実際には、これらのシーケンス番号は、実際に注文を完了しなくても、または注文が後でキャンセルされなくても取得できることがよくあります。 いずれにしても、これらの番号が表示されず、シーケンスが次の番号で継続されることを願っています。

3200418
3200419
3200420

こうすることで、注文を追跡できることがわかり、注文が提供するサイトから受動的に情報を収集し始めることができます。 それが合法かどうかはわかりませんが、それが可能であることだけがわかっています。

そこで、ビジネス ロジックのさまざまな欠点を検討してきました。

トレイ・フォード： 攻撃者はビジネスマンです。 彼らは投資に対する収益を期待しています。 テクノロジーが増えれば増えるほど、コードが大きく複雑になり、より多くの作業が必要になり、捕まる可能性が高くなります。 しかし、手間をかけずに攻撃を実行できる、非常に有益な方法がたくさんあります。 ビジネス ロジックは巨大なビジネスであり、犯罪者がそれをハッキングする大きな動機となります。 ビジネス ロジックの欠陥は犯罪者の主な標的であり、品質保証プロセスの一環としてスキャンを実行したり標準テストを実行したりするだけでは検出できません。 QA には「確証バイアス」と呼ばれる心理的問題があります。人間と同じように、私たちも自分が正しいと知りたいからです。 したがって、実際の条件でテストを行う必要があります。

開発段階でコードを分析したり、QA 中にさえ、すべての脆弱性を検出できるわけではないため、すべての人をテストする必要があります。 したがって、ビジネス プロセス全体を検討し、それを保護するためのあらゆる手段を開発する必要があります。 特定の種類の攻撃は時間の経過とともに繰り返されるため、歴史から多くのことを学ぶことができます。 ある夜、CPU の急上昇によって目が覚めた場合、誰かのハッカーが再び有効な割引クーポンを追跡しようとしていると考えることができます。 攻撃の種類を認識する実際の方法は、アクティブな攻撃を観察することです。ログ履歴に基づいて攻撃を認識するのは非常に困難です。

ジェレミー・グロスマン: 今日私たちが学んだことは次のとおりです。

キャプチャを推測すると、XNUMX 桁の金額を獲得できる可能性があります。 オンライン決済システムを操作すると、ハッカーは XNUMX 桁の利益を得ることができます。 銀行をハッキングすると、特に複数回実行すると、XNUMX 桁をはるかに超える利益を得ることができます。

電子商取引詐欺では 5 桁の賞金が得られますが、アフィリエイト ネットワークを使用すると 6 ～ XNUMX 桁、さらには XNUMX 桁の賞金も得られます。 十分な勇気があれば、株式市場を騙して XNUMX 桁以上の利益を得ることができます。 そして、最高のチワワを決めるコンテストで RSnake メソッドを使用することは、非常に貴重です。

このプレゼンテーションの新しいスライドはおそらく CD に収録されていないため、後で私のブログ ページからダウンロードできます。 XNUMX 月に OPSEC カンファレンスが開催されるので参加する予定ですが、彼らと一緒に本当に素晴らしいものを作ることができると思います。 それでは、ご質問がございましたら、お答えいたします。

いくつかの広告 🙂

いつもご宿泊いただきありがとうございます。 私たちの記事が気に入っていますか? もっと興味深いコンテンツを見たいですか? 注文したり、友人に勧めたりして私たちをサポートしてください。 開発者向けのクラウド VPS は 4.99 ドルから, Habr ユーザーは、当社があなたのために発明した、エントリーレベルのサーバーに似たユニークな製品を 30% 割引でご利用いただけます。 VPS (KVM) E5-2650 v4 (6 コア) 10GB DDR4 240GB SSD 1Gbps 20 ドルからの真実、またはサーバーを共有する方法? (RAID1 および RAID10、最大 24 コア、最大 40GB DDR4 で利用可能)。

Dell R730xdは2倍安い？ ここだけ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV 199 ドルから オランダで！ Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 99 ドルから! について読む インフラストラクチャー企業を構築する方法730 ペニーで 5 ユーロの価値がある Dell R2650xd E4-9000 vXNUMX サーバーを使用したクラスですか?

出所： habr.com