Нещодавно, знічев'я, копався в WebMoney Keeper Classic і помітив одну кумедну особливість, яку можна використовувати з деякою користю.
Як відомо, оплата через Keeper Classic НЕ інтегрується безпосередньо в встановлені на комп'ютері браузери, тобто ініціювати оплату можна з будь-якої програми, якщо кіпер запущений. Система ініціації проста: при включенні кіпер піднімає звичайний веб-сервер (на 2803 порту), який при певному запиті до нього відображає користувачеві вікно з деталями про платіж. Мені здавалося, що при такій схемі було б логічно припустити, що веб-сервер бінді на localhost, проте це не так.
Кіпер дозволяє звертатися до свого веб-сервера ззовні, таким чином, якщо ви не сидите за роутером / проксі / чимось завгодно-що захищає-порти і у вас запущений кіпер, то будь-хто може сформувати і відправити вашому кіперу запит, в результаті якого ви побачите вікно оплати, наприклад, таке:
Вміст полів "продавець", "сума" і "товар" можна формувати самостійно. Звичайно, дане дійство не дозволяє провести більш-менш деструктивний вплив на цільовий комп'ютер, але все ж є кілька негативних моментів:
- Можна задовбувати користувача спливаючими вікнами (деякі після цього починають вважати, що їхній комп'ютер зламали)
- Якщо користувач введе що-небудь в поле для коду підтвердження, то у відповідь ви отримаєте URL з перенаправленням, що містить його WMID
- Теоретично можливо купити таким чином товар за чужий рахунок, якщо перейти в веб-інтерфейсі на форму оплати будь-якого товару, підглянути дані платежу в вихідному коді сторінки, число на картинці (код підтвердження), а потім відправити запит з цікавить сумою якого- небудь недалекому людині і в описі товару вказати що-небудь на зразок: Введіть код 12345
Можливо, існують і інші небезпеки, наприклад, я помітив, що при вказівці великих чисел в якості суми платежу починає частково затирається вміст поля з описом товару. Загалом, будьте пильні.
Для тих, хто хоче погратися з складанням запитів - маленька програмка на Шарп, яка дозволяє вказувати ip, порт, суму, опис платежу і відправляти запит.
У нижньому полі вікна програми відображається відповідь сервера.
Завантажити: zip