наверное это уязвимость какого то отдельного банка, а то выходит больно мощная уязвимость которую не могли не заметить раньше,

всегда думал что количество попыток там сильно ограничено, хотя возникает вопрос, что делать если злоумышленники, например конкуренты, знают номер карты и постоянно делают попытки оплаты, тем самым блокируя возможность сделать оплату настоящему владельцу

странно что его можно отдельно брутфорсить, а не все данные разом отсылать, а банк в ответ говорит верны ли все данные вместе срок действия + cvv

Прикольно)) берем в работу) Осталось найти программу)

Как я понял, предполагается, что дату ты знаешь.

Ох чую кто-то пошопится на таких новостях...

дату они сбрутфорсили

видимо так уязвимость ещё в том, что позволяет один параметр отдельно брутфорсить, если бы данные все одновременно проверялись, то комбинаций было бы намного больше

Сначала дату, затем CVV (на основе того, что дату ты уже сбрутил.

Уже давно думал об этом, но до эксперимента руки не доходили из-за отсутствия мотивации.

Кроме того, некоторые шопы требуют ввода не только срока действия, но и правильного имени+фамилии.

Если для покупки нужны только номер карты, cvv и срок действия то:

Число комбинаций cvv-кода = 999

Число комбинаций дат (если срок действия карты до 3 лет) 12*3 = 36

Итого нам надо попыток покупки: 999*36 = 35964

Если мы сделали брут для 1000 шопов то на каждый шоп получится 36 попыток покупки.

Сделать поддержку хотябы 100 шопов - это дохерища работы, у одного человека как минимум на месяц. Если это реализуют то народ будут грабить в промышленных масштабах. По мелочи не получится. Хотя, если сделать под один популярный движок шопа то уже работы меньше. Вообще меня всегда удивлял идиотизм карточных систем. Сделать cvv-код длиной в 3 цифры - это верх идиотизма.

Ага, ищи.

Давно уже видел ребята на тематических бордах обсуждали и практиковали данный способ. Не знаю правда успешно или нет))

там прикол в том, что каждый параметр по отдельности брутят, хотя я кажется догадался как, вспомнил что некоторым магазинам достаточно только номера карты и срока действия, на них подбирают срок действия, а cvv подбирают на других магазинах,

однако остаётся не ясно как они брутят номер карты, там же 16 знаков, даже если на каждого жителя планеты приходится по одной карте, то это 9 знаков, остаётся ещё 7 знаков, то есть 10 млн вариантов на одну карту, может номера картам по порядку выдают, и ещё не понятно где проверить номер на валидность

http://www.planetcalc.ru/2465/

https://ru.wikipedia.org/wiki/Алгоритм_Луна