Вспомнил историю, хочу поделиться

 

Может кому то интересно, что значит «взлом сайта» и как это делают. Был у меня малюсенький сайт в годах примерно 2010-2014. Сайт — интернет магазин, где я продавал свои же php скрипты и давал возможность любому продавать на нём свои скрипты и брал за это 10%. Сайт был не прибыльным, но и содержание его мне ни чего не стоило. И написал я его полностью сам, совершенствуя навык программирования. Был этот сайт полностью автоматизирован.. Т.е. пополнение баланса через webmoney, покупка, продажа, вывод денег, оповещения о продажах по смс… Всё проходило автоматически и без моего участия. К сайту был привязан кошелек, на котором лежало около 3000р.
Однажды мне позвонил какой-то паренек.. 17 лет ему было. И представился как человек, взломавший мой сайт.
И действительно, парень вывел на свой кошелек все деньги с кошелька сайта. Он их мне вернул и рассказал про уязвимость.
А уязвимость просто наитупейшая… Немного об алгоритме программы: при покупке какого-то товара, программа проверяла, если на счету покупателя денег больше чем цена товара, то из его счета вычиталась эта сумма и отдавался товар. Так вот. В программе при добавлении товара на сайт я не сделал проверку на отрицательную цену. Чувак просто добавил товар с отрицательной ценой, допустим -500р. Потом с другого аккаунта стал покупать свой же товар. Программа проверила, что на его нулевом счету денег больше, чем -500 и вычла из нуля минус пятьсот… Минус на минус дало плюс и его счет увеличился на 500р при покупке товара. Потом он заказал вывод средств и программа в автоматическом режиме перевела деньги на его кошелек.
К тому времени я уже забросил этот сайт.. Больше года им не занимался, и решил просто отдать его тому парню… Он согласился, но видимо ему сайт быстро надоел и уже через пару месяцев он перестал существовать.

 

Источник

 

 

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *