Перейти к публикации
WendM

Добываем сс + оригинал доки.

Рекомендованные сообщения

[Пролог]

 

Думаю каждый из нас пытался добыть кредиток самостоятельно, я не исключение.. Основной метод это слив БД онлайн магазин через SQL-inj.

 

[Парсинг]

 

Все начинается с парсинга ссылок. Лично я использовал свой парсер. Вы же можете юзать общедоступный софт.. Учтите, что не стоит просто использовать голый запрос вида

inurl:product.php?id=

нужно что то вроде этого

inurl:"product.php?id=" buy iphone
или даже так
inurl:"*shop.com" inurl:".php?id=" dress
Ковычки здесь играют большую роль...

Вот немного дорок для экскрементов

inurl:buy.php?category=
inurl:gallery.php?id=d=
inurl:event.php?id=
inurl:view_product.php?id=
inurl:product.php?id=
inurl:products.php?id=
inurl:shop.php?id=
inurl:collectionitem.php?id=
inurl:shopping.php?id=
inurl:items.php?id= 

И вот у наc есть пару тысяч линков (правда у меня эта цифра зашкаливала за 1 лям)..

 

[Чек на sql-inj. Слив БД]

 

Все, мы напарсили свой миллион ссылок. Начнем чек.. И здесь я использовал свой чекер.. Вы же можете юзать общедоступный софт...

Тут особо не о чем говорит, так что дальше.

Вот оно...

Мы собрали уязвимые линки, начинаем слив. Лично но я вначале кручу через Havij. Если он не может, а это в 50% случаев, то в ход идут руки. И вот оно!!! Мы наткнулись на таблицу с названием

orders

Открываем ее, и ..... и там нет колонок с кредитками. Мдя...

[СС там, где его нет]

 

Да мы не нашли колонки с сс, и это печально. 99% кардеров забьют на такой шоп и двинут дальше. Не стоит торопицца. У нас на руках все заказы шопа, имена, фамилии, адресса и даты заказчиков. А теперь вспомним что обычно происходит когда мы щипаем на сс? Правильно, у на просят фото документов и кредитной карты....

 

[Теперь МЫ шоп!]

 

Сливаем из таблицы

orders

колнки

FName

LName

order date

email

Само собой названия могут быть другими.

Теперь у нас есть все что нужно. Регистрируем на hotmail.com email вида [email protected]. Теперь мы готовы. Начинаем спамить..

 

Примерный текст письма

Dear FName LName,


We are processing your order  . As part of our security procedures, we ask that you provide the following documents:

1)    Your valid photo identification (e.g. passport or driving license).

2)    An utility bill or bank statement issued on your name, that shows your current address. Please note that such can only be accepted if it’s dated no longer than 3 months back from the current date.

3)      Copy of your credit card (front and back side).

Once your ID and utility bill are verified, they will be placed in a secure file and you will not be asked to re-send it in the future.


Send your documents at e-mail to [email protected]

Please note, if after 2 days, we do not receive legible e-mail, we  will cancel your order. 

 

[P.S]

  1. Тесты я проводил над Индией. Отклик составил примерно 40%.
  2. Все документы полученные данным путем были стерты, а шопы оповещены об уязвимость.
  3. Статья была написана исключительно в ознакомительных целя. Я ни в коем случаи не побуждаю Вас к действию.

Ребята, не надо просить у меня в ЛС сс добытые по данной теме. Я ушел из кардинга.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

хорошая статья

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Можно немного хитрее поступить, получить доступ в админку шопа, и просто сделать массовую рассылку от имени шопа, так даже лучше будет)))

Меньше подозрений

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
Можно немного хитрее поступить, получить доступ в админку шопа, и просто сделать массовую рассылку от имени шопа, так даже лучше будет)))

Меньше подозрений

1) Не всегда ее можно найти

2) А доки вы тоже в админки смотреть будите? :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
1) Не всегда ее можно найти

2) А доки вы тоже в админки смотреть будите? :D

 

Ну смотря как подойти(есть ведь не только скули есть еще CRSF,XSS,брут директорий(может бонально бэкапы не закрыты или еще чего возможно(векторов много для атаки). А в чем проблема подменить мыло на свое (на которое отвечать(в админке), в чем проблема просто в письме указать что отправку письма делал бот, и что отвечать тока на это мыло)

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
Баян, кто-то уже писал такое.

пруф?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
Не помню где видел, но видел.

Я хз где ты такое видел, но данную тему я "родил" сам

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Подскажите стоящий парсер, для сбора линков через поисковик.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

XCodeXploitScanner и Gr3eNoX-Exploit-Scanner - если я тебя правильно понял!

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
Подскажите стоящий парсер, для сбора линков через поисковик.

Могу свой продать. ICQ 602479786

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

А прогу для спама подскажите? =) чет искал искал, но ничего путного не нашел

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

не понимаю (

вы спамите всю базу шопа? О_о

есть ли смысл требовать доки от холдера, который уже пол-года как получил свой пак?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

To Johnny_Cox/

Ну почему нет, во первых там есть дата покупки, и чтоб не обломаться именно с этим текстом-спамить и недавние паки, а во вторых можно немного изменить письмо-Си никто не отменял.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
Не помню где видел, но видел.
:D

- Видишь суслика?

- Нет!

- А он существует.....

________________________________

 

Мне понравилась статья. +1.

 

Это улыбнуло - Все документы полученные данным путем были стерты, а шопы оповещены об уязвимость.

 

Какие чекеры на sql-inj использовал???

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

тема стара, как мир но работает и самому несложно догадаться :)) юзал подобное в 04 году, но только на другое равзодил (отклик бешенный был) Я сканы карт и сразу айди очень часто нахожу в чьих нибудь мыльниках.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Грамотное построение действий, хорошая статья!

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас

×