Toto som ja, píšem skript na vymenovanie parametrov pre požiadavku POST na gov.tr, sedím pred hranicou do Chorvátska.
Ako to všetko začalo
S manželkou cestujeme po svete a pracujeme na diaľku. Nedávno sme sa presťahovali z Turecka do Chorvátska (najlepší bod na návštevu Európy). Aby ste sa v Chorvátsku nedostali do karantény, musíte si dať urobiť potvrdenie o negatívnom teste na covid najneskôr 48 hodín pred vstupom.
Zistili sme, že je pomerne výhodné (2500 rubľov) a rýchlo (všetky výsledky prídu do 5 hodín) urobiť test na istanbulskom letisku, z ktorého sme práve odleteli.
Na letisko sme dorazili 7 hodín pred odletom, našli sme testovací bod. Všetko robia chaoticky: prídete, dáte pas, zaplatíte, dostanete 2 nálepky s čiarovým kódom, idete do mobilného laboratória, kde vám jednu z týchto nálepiek vezmú, aby identifikovali vašu analýzu. Keď odídete a povedia vám: prejdite na túto stránku: , vložte čiarový kód a posledné 4 číslice pasu, po chvíli bude výsledok.
Ak však zadáte údaje ihneď po vykonaní analýzy, stránka zobrazí chybu.
Už vtedy sa mi do hlavy vkradli myšlienky o “krásnom” UX, v ktorom pri akejkoľvek chybe operátora, ktorý sa zajazdil v pasových údajoch, nie je možné zistiť váš výsledok.
Pred odchodom
Prichádza čas odchodu, zadávam svoje údaje a vidím, že doklady k nim už sú, hoci ešte nie je výsledok testu.
Dokonca je jasné, že testy dorazili do laboratória pred 1.5 hodinou. Ale záznam údajov mojej manželky stále zobrazuje chybu, že záznam nebol nájdený. A čo je najdôležitejšie, nebudete môcť ísť a opýtať sa, čo sa deje, pretože. Test sme absolvovali v zóne pred pasovou kontrolou.
Pri nástupe do lietadla nás žiadali o výsledky testov, ale našťastie sa nám podarilo presvedčiť zástupcu letiska, že sa čoskoro objavia (ukázali im čiarové kódy) a v krajnom prípade pôjdeme do karantény.
Hneď ako som nastúpil do lietadla, môj kód ukázal, že mám negatívny test.
Pri príchode
A tu začína zábava! Len čo sme prileteli a pripojili sa na miestnu WiFi, ukázalo sa, že záznam mojej ženy v databáze nie je. A na samotnej hranici sa k dokumentom pristupovalo veľmi opatrne: pohraničná stráž urobila test na koronavírus a odniesla ho do samostatnej miestnosti, aby skontrolovala jeho realitu. Rozhodli sme sa, že povieme príbeh našej dôvery taký, aký je a zistíme, aké máme možnosti.
Kým sme stáli v rade, rozhodol som sa skontrolovať správne (moje) a nesprávne údaje, ako reaguje validačná stránka.
Ukázalo sa, že posiela žiadosť o príspevok , s nasledujúcimi parametrami:
čiarový kódNo=XX
kimlikNo=YY
kimlikTipi=2
kde čiarový kód č - číslo čiarového kódu, kimlikNie - Číslo pasu, kimlik Tipi – pevný parameter rovný 2 (ak sú vyplnené iba prvé dve polia). Neboli viditeľné žiadne žetóny. Požiadavka vrátila 1 pre správne parametre (moje údaje) a 0 pre nesprávne parametre.
Od poštára som skúsil pretriediť 40 kombinácií (zrazu chyba jedného znaku), no nič.
V tom momente sme oslovili pohraničníka, vypočul si náš príbeh a navrhol karanténu. Jednoznačne sme však nechceli sedieť v byte 14 dní, a tak sme požiadali, aby sme chvíľu počkali v tranzitnej zóne, aby sme sa pokúsili problém vyriešiť za pár hodín. Pohraničná stráž vstúpila do našej pozície, išla sa pozrieť, či môžeme sedieť v bielej zóne, a so súhlasom veliteľa povedala: "Dobre, len pár hodín."
Začal som hľadať telefóny tých, ktorí robili test koruny, a zároveň som sa rozhodol otestovať bláznivú hypotézu: ak má tento systém také hrozné UX, potom by bezpečnostný systém nemal byť dobrý, aj keď gov.tr domény.
Výsledkom bolo, že počas telefonovania som napísal malý skript, ktorý zoradil všetky čísla od 0000 do 9999 v poli kimlikNo. barkodNo my sme mali na nalepke, tak to nemohlo mat chybu.
Predstavte si moje prekvapenie, keď som ani po 500 nepretržitých požiadavkách nedostal ban a skript bežal z letiskovej WiFi rýchlosťou 20 požiadaviek za sekundu.
Hovory nepriniesli veľký úspech: bol som presmerovaný z jedného oddelenia na druhé. Ale veľmi skoro skript dal vytúženú hodnotu 6505, čo sa vôbec nepodobalo skutočným 4 číslicam pasu.
Po odovzdaní dokumentu sa ukázalo, že to zjavne nebol pas mojej manželky (ruskí cudzinci takéto čísla ani nemajú), ale všetky ostatné údaje (vrátane mena, priezviska a dátumu narodenia) sú správne.
Najzaujímavejšie je, že čiarové kódy tiež nie sú náhodné, ale idú takmer jeden po druhom. Teoreticky by som teda mohol nájsť kontakty, ktoré dostali číslo pasu mojej manželky, a vo všeobecnosti som mohol bez problémov vyčerpať súkromné údaje iných ľudí.
Ale bolo 9 hodín a noc bez spánku, meškal som na online stretnutie a bol som rád, že nás nechali prejsť bez karantény, a tak som len začal svoju cestu po Európe.
Zdroj: hab.com