블랙햇 USA 컨퍼런스. 부자가 아니면 죽느냐: 검은 모자 방법을 사용하여 온라인으로 돈을 버는 것. 파트 2

블랙햇 USA 컨퍼런스. 부자가 아니면 죽느냐: 검은 모자 방법을 사용하여 온라인으로 돈을 버는 것. 파트 1

비밀번호 "복구" 요청을 허용하는 Hire2Hack이라는 사이트도 있습니다. 여기서 서비스 비용은 $150부터 시작됩니다. 나머지는 모르겠지만 돈을 지불할 것이기 때문에 자신에 대한 정보를 제공해야 합니다. 등록하려면 사용자 이름, 이메일, 비밀번호 등을 제공해야 합니다. 재미있는 점은 웨스턴 유니언(Western Union) 송금도 허용한다는 것입니다.

사용자 이름은 특히 이메일 주소와 연결된 경우 매우 중요한 정보라는 점은 주목할 가치가 있습니다. 메일함을 등록할 때 실명을 표시하는 사람이 누구인지 말해 보세요. 아무도 없어요, 이거 재미있어요!

따라서 이메일 주소는 특히 온라인 쇼핑을 하거나 데이트 사이트에서 배우자의 바람둥이를 추적하려는 경우 귀중한 정보입니다. 판매자인 경우 이메일 주소를 사용하여 현재 경쟁사의 서비스를 사용하고 있는 고객 또는 가입자를 확인할 수 있습니다.

따라서 피싱 공격자는 실제 사용자 주소에 큰 돈을 지불합니다. 또한 시간 기반 공격을 통해 유효한 이메일 주소를 마이닝하기 위해 비밀번호 및 로그인 복구 창을 사용합니다. 이 분야에 대한 흥미로운 연구 결과가 발표되면서 많은 주요 전자상거래 및 소셜 미디어 포털에서는 유효한 이메일 주소 도용을 많은 피해를 초래할 수 있는 문제로 간주하고 있습니다. 따라서 우리는 타이밍 공격과 이런 종류의 정보 유출에 맞서 두 가지 전선에서 싸워야 합니다.

전자쿠폰을 돈으로 바꿔드립니다

제레미 그로스만: 그래서 우리는 온라인 사기의 세 가지 방법을 살펴봤고 이제 그 비중을 높이고 있습니다. 다음 방법은 eCoupon을 돈으로 바꾸는 것입니다. 이 쿠폰은 온라인 쇼핑에 사용됩니다. 고객이 고유 ID를 입력하면 구매 시 할인이 적용됩니다. 주요 온라인 소매업체는 AmEx의 지원을 받아 고객에게 할인 프로그램을 제공합니다.

쿠폰에는 몇 달러에서 몇 백 달러까지 할인을 제공하고 16자리 ID가 함께 제공된다는 사실을 많은 분들이 알고 계실 것입니다. 이 숫자는 매우 정적이며 일반적으로 순서대로 나타납니다. 처음에는 주문당 하나의 쿠폰만 허용되었으나, 프로그램이 인기를 끌면서 이러한 제한이 해제되어 이제는 하나의 주문에 3개 이상의 쿠폰을 사용할 수 있습니다.

누군가 수천 개의 유효한 할인 쿠폰을 식별하는 스크립트를 개발했습니다. 판매자는 50만 달러 이상의 주문에 대해 돈 대신 200개 이상의 쿠폰으로 결제했다는 사실을 알고 있습니다. 동의하세요, 이것은 좋은 크리스마스 선물입니다!

프로그램이 훌륭하게 작동하고 모두가 쿠폰을 사용했으며 모두가 행복했기 때문에 문제는 오랫동안 눈에 띄지 않았습니다. 이는 사람들이 ID 번호를 스크롤하여 할인을 제공하는 번호를 선택하는 동안 프로그램의 로드 일정 시스템이 프로세서 로드의 90% 증가를 감지할 때까지 계속되었습니다.

거래자들은 뭔가 잘못되었다고 의심했기 때문에 FBI에 이 사건을 조사해 달라고 요청했습니다. 그런데 문제는 존재하지 않는 주소로 물건이 배송돼서 혼란스러웠다는 점이었습니다. 공격자는 배송 서비스와 음모를 꾸미고 상품을 미리 "차단"한 것으로 밝혀졌습니다.

이 사례에서 흥미로운 점은 쿠폰이 화폐가 아니라 마케팅 도구일 뿐이라는 점입니다. 그러나 비즈니스 로직의 오류로 인해 비밀 경호국이 개입해야 했고, 이 시스템을 유리하게 활용한 배송 서비스의 사기 사실도 직면했습니다.

가짜 계정으로 돈 벌기

트레이 포드: 이것은 내가 가장 좋아하는 이야기 중 하나입니다. “실생활: 사무실 공간 해킹.” 해커에 관한 영화 '오피스 스페이스'를 본 ​​적이 있을 것 같습니다. 이 과정을 이해해 봅시다. 온라인뱅킹을 이용해 보신 분들은 몇 명이나 됩니까?

좋아요, 모두가 그것을 사용했다고 인정했습니다. 흥미로운 점 중 하나는 ACH를 통해 온라인으로 청구서를 지불할 수 있다는 것입니다. ACH "자동 청산소"는 이와 같이 작동합니다. 내가 Jeremy에게서 자동차를 사고 싶어하고 내 계좌에서 그의 계좌로 직접 돈을 이체하려고 한다고 가정해 보겠습니다. 주요 결제를 하기 전에 금융 기관에서는 모든 것이 제대로 되어 있는지 확인해야 합니다. 따라서 먼저 시스템은 당사자의 금융 계좌와 라우팅 주소가 올바른지, 고객이 돈을 받았는지 확인하기 위해 몇 센트에서 2달러까지의 소액을 이체합니다. 이체가 올바르게 완료되었다고 만족하면 전체 지불금을 전달할 준비가 된 것입니다. 이것이 합법적인지, 사용자 계약 조건을 준수하는지에 대해 논쟁할 수 있습니다. 하지만 PayPal 계정을 가지고 있는 분이 몇 분이나 됩니까? 여러 PayPal ID를 가지고 있는 사람은 몇 명인가요? 이는 아마도 완전히 합법적이며 이용 약관을 준수하는 것입니다.

이제 이 메커니즘을 사용하여 많은 돈을 벌 수 있다고 상상해 보세요. 간단한 스크립트를 설정하여 이러한 계정을 80만 개 생성하는 효과를 사용하는 것에 대해 이야기하고 있습니다. 주의해야 할 유일한 점은 우리가 돈을 버는 데 도움이 되는 로컬 프록시, RSnake 스크립트, 기타 해킹 도구를 사용하여 이야기를 시작했다는 것입니다. 하지만 이제 다시 돌아와 해킹을 훨씬 쉽게 만드는 방법을 보여 드리겠습니다. , 하나의 브라우저만 사용하여 돈을 벌 수 있도록 합니다.

이 특정 공격은 본질적으로 개인적인 공격입니다. 캘리포니아 출신의 22세 Michael Largent는 간단한 스크립트를 사용하여 58개의 가짜 중개 계좌를 만들었습니다. 그는 Schwab, eTrade 및 기타 시스템에서 해당 계정을 열어 해당 계정의 가짜 사용자에게 만화 캐릭터의 이름을 할당했습니다.

각 계좌에 대해 그는 자금을 전액 이체하지 않고 ACH 확인 이체만 사용했습니다. 그러나 그는 이 모든 검증 자금이 흐르는 공동 계좌를 소유하고 있으며 이를 자신에게 이체했습니다. 좋은 것 같습니다. 많은 돈은 아니지만 전체적으로 그에게 상당한 수입을 가져다주었습니다. 그는 영화 '오피스 스페이스'의 아이디어를 따라 그렇게 돈을 벌었다. 흥미로운 점은 여기에 불법이 없다는 것입니다. 그는 단지이 작은 금액을 모두 모았지만 매우 빨리 처리했습니다.

그는 Google Checkout 시스템에서 $8225를 벌었고 eTrade 및 Schwab 시스템에서 $50225를 추가로 벌었습니다. 이어 그는 이 돈을 신용카드로 인출해 횡령했다. 은행에서 이 수천 개의 계좌가 모두 한 사람의 소유라는 것을 발견했을 때 은행 직원은 그에게 전화를 걸어 왜 그랬는지 물었습니다. 그는 자신이 돈을 훔치고 있다는 것을 이해하지 못합니까? 이에 마이클은 자신이 불법적인 일을 하고 있다는 사실을 이해하지 못했고 몰랐다고 대답했습니다.

이것은 당신을 따라다니며 당신에 대해 가능한 한 많은 것을 알고 싶어하는 경호원들과 새로운 관계를 구축하는 아주 좋은 방법입니다. 다시 한 번 반복합니다. 이 계획에서 가장 재미있는 점은 여기에 불법이 없다는 것입니다. 그는 애국법에 따라 구금되었습니다. 애국법(Patriot Act)이 무엇인지 아는 사람이 있나요?

맞습니다. 이것은 테러 대응 분야에서 정보 기관의 권한을 확대하는 법입니다. 이 사람은 만화와 만화의 이름을 사용했기 때문에 가짜 사용자 이름을 사용했다는 이유로 그를 체포할 수 있었습니다. 따라서 사서함에 가상의 이름을 사용하는 참석자는 조심해야 합니다. 이는 불법으로 간주될 수 있습니다!

경호실 기소는 컴퓨터 사기, 인터넷 사기, 메일 사기 등 XNUMX가지 혐의로 기소됐으나 실제 계좌를 사용했기 때문에 돈을 받는 행위는 완전히 적법한 것으로 드러났다. 그것이 올바르게 수행되었는지 아닌지, 윤리적으로 수행되었는지 여부는 말할 수 없지만 기본적으로 Michael이 수행한 모든 작업은 웹 사이트에 나열된 이용 약관을 준수했기 때문에 아마도 그것은 단지 추가 기능이었을 것입니다.

ASP를 통한 은행 해킹

제레미 그로스만: 아시다시피 저는 여행을 많이 다니면서 기술에 능숙하거나 반대로 기술에 전혀 정통하지 않은 사람들을 만납니다. 그리고 우리가 인생에 관해 이야기할 때 그들은 내가 어디서 일하는지 묻습니다. 내가 정보보안을 한다고 대답하면 그게 뭐냐고 묻는다. 내가 설명하면 그들은 "아, 그럼 은행을 해킹할 수 있겠네요"라고 말하더군요!

따라서 은행이 실제로 어떻게 해킹될 수 있는지 설명하기 시작하면 ASP 금융 응용 프로그램 제공업체를 통한 해킹에 대해 이야기하는 것입니다. 애플리케이션 서비스 제공업체는 은행, 신용 조합, 기타 금융 회사 등 고객에게 자체 소프트웨어와 하드웨어를 임대하는 회사입니다.

이들 서비스는 자체 소프트웨어 및 하드웨어를 보유하는 것이 재정적으로 수익성이 없는 소규모 은행 및 유사 회사에서 사용됩니다. 그래서 그들은 ASP 용량을 임대하여 월별 또는 연간 비용을 지불합니다.

ASP는 하나의 은행을 해킹하는 것이 아니라 600개, 수천 개의 은행을 한번에 해킹할 수 있기 때문에 해커들로부터 많은 주목을 받습니다. 따라서 ASP는 악당들에게 매우 흥미로운 표적이 됩니다.

따라서 ASP 회사는 세 가지 중요한 URL 매개변수인 클라이언트 ID client_ID, 은행 IDbank_ID 및 계정 ID acct_ID를 기반으로 여러 은행에 서비스를 제공합니다. 각 ASP 클라이언트에는 여러 은행 사이트에서 사용할 수 있는 고유한 식별자가 있습니다. 각 은행은 저축 시스템, 계좌 확인 시스템, 결제 시스템 등 각 금융 애플리케이션에 대해 원하는 수의 사용자 계정을 가질 수 있으며 각 금융 애플리케이션에는 고유한 ID가 있습니다. 또한, 이 애플리케이션 시스템의 각 고객 계정에도 고유한 ID가 있습니다. 따라서 우리에게는 세 가지 계정 시스템이 있습니다.

그렇다면 600개의 은행을 동시에 해킹하려면 어떻게 해야 할까요? 먼저 다음과 같이 URL 문자열의 끝을 살펴봅니다. website/app.cgi?client_id=10&bank_id=100&acct_id=1000 acct_id를 임의의 값 #X로 바꾸려고 하면 다음 내용이 포함된 크고 빨간색 오류 메시지가 표시됩니다. “계좌 #X는 은행 #Y에 속합니다.”(계좌 #X는 은행 #Y에 속합니다). 다음으로,bank_id를 가져와 브라우저에서 #Y로 변경하면 "은행 #Y는 클라이언트 #Z에 속합니다"(은행 #Y는 클라이언트 #Z에 속함)라는 메시지가 표시됩니다.

마지막으로 client_id를 가져와서 #Z를 할당합니다. 그러면 원래 들어가고 싶었던 계정에 들어갑니다. 시스템을 성공적으로 해킹한 후에는 동일한 방식으로 다른 은행 계좌, 은행 또는 고객 계좌에 들어갈 수 있습니다. 우리는 시스템의 모든 계정에 접근할 수 있습니다. 여기에는 승인에 대한 힌트가 전혀 없습니다. 그들이 확인하는 유일한 것은 ID로 로그인되어 있으며 이제 자유롭게 돈을 인출하고 이체하는 등의 작업이 가능하다는 것입니다.

어느 날 ASP를 사용하지 않는 고객 중 한 명이 ASP를 사용하고 있는 다른 고객에게 이 취약점에 대한 정보를 전달하고 수정해야 할 문제가 있다고 말했습니다. 우리는 인증을 도입하기 위해 전체 애플리케이션을 다시 작성해야 할 것이며 시스템은 고객이 금융 거래를 할 수 있는 인증을 받았는지 확인할 것이며 이 작업에는 시간이 걸릴 것이라고 말했습니다.

이틀 후 그들은 이미 모든 것을 스스로 수정했다는 응답을 보냈습니다. 오류 메시지가 더 이상 나타나지 않도록 URL을 수정했습니다. 물론 그것은 멋졌고 우리는 그들이 그들의 "훌륭한" 해킹 기술로 무엇을 했는지 알아보기 위해 소스 코드를 살펴보기로 결정했습니다. 그래서 그들이 한 일은 HTML 형식의 오류 메시지 표시를 중단한 것뿐입니다. 전반적으로 우리는 이 고객과 매우 흥미로운 대화를 나눴습니다. 그들은 이 문제를 빨리 해결할 수 없기 때문에 장기적으로 취약점을 완전히 해결하기를 바라면서 지금은 그렇게 하기로 결정했다고 말했습니다.

역방향 송금

제가 아주 간략하게 말씀드릴 또 다른 사기 방법은 역송금입니다. 이 작업은 많은 뱅킹 애플리케이션에서 수행됩니다. $10000를 A 계좌에서 B 계좌로 이체할 때 연산 공식은 논리적으로 다음과 같이 작동해야 합니다.

A = A - ($10,000)
B = B + ($10,000)

즉, $10000가 A 계좌에서 인출되어 B 계좌에 추가됩니다.

흥미로운 점은 은행에서 정확한 이체 금액을 입력했는지 여부를 확인하지 않는다는 것입니다. 예를 들어 양수를 음수로 바꿀 수 있습니다. 즉, $10000를 계좌 A에서 계좌 B로 이체할 수 있습니다. 거래 공식은 다음과 같습니다.

A = A — (-$10,000)
B = B + (-$10,000)

즉, A 계좌에서 자금을 인출하는 대신 B 계좌에서 인출하고 A 계좌로 입금됩니다. 이는 때때로 발생하며 흥미로운 결과를 가져옵니다. 이 슬라이드 하단에서 연구 기사에 대한 링크를 볼 수 있습니다. Breaking the Bank(금융 애플리케이션 내 숫자 처리의 취약점).

반올림 오류에서 발생하는 유사한 일을 설명합니다. Corsaire의 이 기사에는 우리의 솔루션에 대한 자료를 제공하는 흥미로운 내용이 많이 있습니다.

하지만 이전 문제로 돌아가 보겠습니다. ASP 보안팀에 문의했더니 “내부 업무 통제로 이러한 문제를 예방할 수 있다”는 답변을 받았습니다. 우리는 "좋아, 그들의 웹사이트를 살펴보자"고 말했습니다. 몇 주 후, 고객과 계속 협력하면서 우리는 고객으로부터 다음과 같은 수표를 우편으로 받았습니다.

여기에는 당사 WH에서 수행한 테스트 비용 2달러가 나와 있습니다. 이것이 우리가 돈을 버는 방법입니다!

아직도 그 영수증이 내 책상 위에 있어요. 이러한 두 가지 테스트의 경우 최대 4달러를 얻을 수 있습니다!

그러나 몇 달 후 우리는 특정 고객으로부터 70000달러가 동유럽 국가 중 한 곳으로 불법적으로 이체되었다는 소식을 들었습니다. 너무 늦어서 ASP가 고객을 잃었기 때문에 돈을 돌려받을 수 없었습니다. 이러한 일이 발생하지만 우리는 법의학 과학자가 아니기 때문에 얼마나 많은 고객이 이 취약성으로 인해 영향을 받았는지 파악하지 못했습니다. 이 구성표의 모든 내용은 완전히 합법적인 것처럼 보이기 때문에 URL의 모양만 변경하면 됩니다.

텔레쇼핑에서 쇼핑하기

트레이 포드: 이제 정말 기술적인 해킹에 대해 말씀드릴 테니 잘 들어보세요. 우리 모두는 QVC라는 작은 텔레비전 방송국을 알고 있습니다. 가끔 이 TV 상점에서 무언가를 구입하실 것이라고 확신합니다.

사이트에 관계없이 온라인으로 물건을 구매할 때 아무 곳이나 클릭하지 마세요. 주문이 즉시 처리되기 시작하기 때문입니다! 귀하는 즉시 마음을 바꿔 거래를 중단할 수 있습니다. 그러나 며칠 후 즉시 비용을 지불해야 하는 쓰레기 더미를 우편으로 받게 됩니다.

노스캐롤라이나 주 그린즈버러 출신의 공인 해커인 33세 Quantina Moore-Perry를 만나보세요. 그녀가 이전에 무슨 일을 했는지는 모르겠지만, 그녀가 사이트에서 거래를 거의 즉시 취소했음에도 불구하고 그녀가 임의 거래를 한 후 어떻게 돈을 벌기 시작했는지 말씀드릴 수 있습니다.

이 모든 "주문한" 물건은 여성용 핸드백, 가전제품, 보석류, 전자제품 등 QVC에서 그녀의 우편 주소로 도착하기 시작했습니다. 당신이 주문하지 않은 물건을 누군가 당신에게 우편으로 보냈다면 어떻게 하시겠습니까? 맞아, 아무것도 아니야! 우리 국민이...

하지만 무료배송이라니, 무료배송 혜택도 있어요! 결국 소포는 이미 우편으로 발송되었으므로 어디로든 보낼 필요가 없습니다. 이것이 표준 비즈니스 프로세스라면 어떻게 사용할 수 있습니까? 1800월부터 412000월까지 그녀의 우편 주소로 도착한 XNUMX개의 소포를 어떻게 해야 할까요? 그래서 이 여성은 eBay에서 이 모든 물건을 경매에 부쳤고 이 모든 쓰레기를 판매한 결과 그녀의 이익은 $XNUMX였습니다! 그녀가 이것을 한 방법은 매우 간단합니다! 그녀는 누군가 QVC에서 자신의 주소로 이 모든 패키지를 주문했지만 다시 포장하여 수신자에게 보내는 데 어려움을 겪고 있으므로 원래 QVC 포장으로 보내야 한다고 우체국에 말했습니다!

보시다시피 이것은 매우 기술적인 솔루션입니다! 그러나 QVC는 eBay에서 제품을 구매한 두 사람이 QVC 포장으로 제품을 받은 후 이 문제에 대해 우려하게 되었습니다. 연방 법원은 이 여성에게 우편 사기 혐의로 유죄 판결을 내렸습니다.

따라서 주문 취소로 인한 간단한 기술적 문제로 이 여성은 엄청난 돈을 벌 수 있었습니다.

37:40 분

블랙햇 USA 컨퍼런스. 부자가 아니면 죽느냐: 검은 모자 방법을 사용하여 온라인으로 돈을 버는 것. 파트 3

일부 광고 🙂

우리와 함께있어 주셔서 감사합니다. 우리 기사가 마음에 드십니까? 더 재미있는 콘텐츠를 보고 싶다면? 주문하거나 친구에게 추천하여 우리를 지원하십시오. $4.99부터 시작하는 개발자용 클라우드 VPS, 귀사를 위해 당사가 개발한 고유한 보급형 서버 아날로그에서 Habr 사용자를 위한 30% 할인: VPS(KVM) E5-2650 v4(6코어) 10GB DDR4 240GB SSD 1Gbps에 대한 전체 진실 또는 서버 공유 방법은? (RAID1 및 RAID10에서 사용 가능, 최대 24개 코어 및 최대 40GB DDR4).

Dell R730xd가 2배 더 저렴합니까? 여기서 만 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199부터 네덜란드에서! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 최저 $99! 에 대해 읽다 인프라 공사를 구축하는 방법. 730페니에 5유로 상당의 Dell R2650xd E4-9000 vXNUMX 서버를 사용하는 클래스?

출처 : habr.com