Как ездить на такси за чужой счёт — уязвимости на примере одного сервиса
После нахождения уязвимостей в мобайл-банкинге украинского банка (пост) я захотел немного сменить направление и перейти от финансовых сервисов к другим.
На глаза попалась рекламная статья про обновлённое мобильное приложение такси, его я и выбрал своим подопытным.
Здесь инструменты те же: ПК, Fiddler, Android-смартфон – устанавливаем приложение и отслеживаем его запросы.
Я специально не рассматривал запросы и ответы при регистрации или логине (например, не стал проверять возможность перебора пароля), а перешёл к функциям, доступным после регистрации.
Так как у меня не было истории поездок с помощью данного сервиса, а проводить реальную поездку для тестирования мне не хотелось, мне нужны были данные кого-либо ещё из клиентов. Я решил спросить знакомых на наличие аккаунта в сервисе. Среди знакомых нашлись клиенты этого такси, но вызывали они его по-старинке – с помощью звонка.
Тогда я начал искать номера телефонов среди общедоступной в интернете информации – например, на официальном сайте и среди отзывов в соцсетях (зачастую недовольные клиенты, описывая жалобы, вместо отправки компании в личку своих контактов оставляют их в комментариях на всеобщее обозрение). В итоге я нашёл пару телефонов на одном из сайтов по поиску работы. Один из них я подставил в последующие запросы и получил информацию, которая не должна была быть доступна кому-либо извне.
Читать дальше →
На глаза попалась рекламная статья про обновлённое мобильное приложение такси, его я и выбрал своим подопытным.
Здесь инструменты те же: ПК, Fiddler, Android-смартфон – устанавливаем приложение и отслеживаем его запросы.
Я специально не рассматривал запросы и ответы при регистрации или логине (например, не стал проверять возможность перебора пароля), а перешёл к функциям, доступным после регистрации.
Так как у меня не было истории поездок с помощью данного сервиса, а проводить реальную поездку для тестирования мне не хотелось, мне нужны были данные кого-либо ещё из клиентов. Я решил спросить знакомых на наличие аккаунта в сервисе. Среди знакомых нашлись клиенты этого такси, но вызывали они его по-старинке – с помощью звонка.
Тогда я начал искать номера телефонов среди общедоступной в интернете информации – например, на официальном сайте и среди отзывов в соцсетях (зачастую недовольные клиенты, описывая жалобы, вместо отправки компании в личку своих контактов оставляют их в комментариях на всеобщее обозрение). В итоге я нашёл пару телефонов на одном из сайтов по поиску работы. Один из них я подставил в последующие запросы и получил информацию, которая не должна была быть доступна кому-либо извне.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Это ты на фото? SMS-RAT. Методы обфускации
- Опыт настройки МСЭ и кибербезопасности на промышленных объектах
- Технический долг в ИТ: главные причины и скрытые риски
- Spark_news: X5 разыгрывает один миллион рублей в честь своего 20-летия
- VPN режут, Штрафы за утечки растут, НО доступ к нашим телефонам продаётся как ни в чём не бывало
- На словах ты WAF простой: на что смотреть заказчику во время пилотного тестирования WAF-решений
- Telegram «вернул» стену
- Безопасность ИИ: как перестать бежать анализировать каждое новое ПО и перейти к системному подходу
- [Перевод] Как Cursor с Claude Opus снёс продакшен базу данных за 9 секунд
- Мерчандайзинг в интерфейсах: Как ваши привычки стали врагом номер один