Кардинг по-новому

Крис Касперски ака мыщъх

Спецвыпуск: Хакер, номер #061, стр. 061-086-2

А вот другой пример "исторического" взлома. Каждый, наверняка, видел, как в фильмах крутые перцы вставляют в банкомат какое-то устройство, и тут бегут цифры, а в конце перец достает пачку хрустящих купюр. Что это такое? Оказывается, это генератор PIN-кодов, подключаемый в обход клавиатуры банкомата. Подобрать полный номер кредитки нереально, это займет слишком много времени и будет слишком наглядно: на банк обрушится лавина запросов, банкомат будет немедленно заблокирован. Однако если подсмотреть номер чужой карты, то подобрать PIN вполне реально, если, конечно, делать это не вручную, а с помощью электроники. Банкоматы, естественно, предусматривают блокировку карты после определенного количества неправильных попыток, но в древности защитная схема была плохо отработана и ее удавалось обойти. Теперь же все это в прошлом. Очевидные дыры уже давно заткнуты и просто так не взламываются, в то же время кардеры не собираются сдаваться и, можно сказать, их дело процветает.

Тайники электронных магазинов

Совершая покупку по кредитке, ты неизбежно "засвечиваешь" ее номер. Многие магазины сохраняют его в специальной базе на тот случай, когда ты вдруг придешь еще раз и тем самым, как постоянный покупатель, заслужишь скидку. Разумеется, это не единственная причина для сохранения номеров карт.

Нас уверяют, что никакие данные о нас никому не передаются и не используются во вред нам. Может быть, это действительно так, может быть, действительно налоговые органы удерживаются от соблазна порыться в готовой базе и устроить серьезную разборку: "Как это так? Человек платит $10 налогов, а каждую неделю совершает покупок на $10 000". Ясно только одно: если эта база как-то взаимодействует с интернетом, она изолирована от внешнего мира не полностью, соответственно, можно проникнуть в нее и похитить реальные номера кредитных карт, которые выдержат любую проверку.

Конкретные методики взлома могут варьироваться от атаки на операционную систему, под которой вращается сервер, до "инъекции" SQL/PHP-команд в строку формы запроса. Главное - забросить свой shell-код на удаленный узел, а все остальное, как говорится, дело техники. Подробнее об этом можно прочитать, например, в "Записках исследователя компьютерных вирусов" (электронная копия лежит на ftp://nezumi.org.ru).