DEranged Security » 博客档案 » 如何窃取一百万

» 博客存档 » 如何窃取一百万 如何窃取一百万 2007 年 10 月 29 日，作者：admin |发表于 DEranged Security |还记得我接受挑战，在一个周末偷走一百万瑞典克朗（15 万美元）并成为百万富翁吗？不，我没有成功。选择方法、处理法律问题以及与各方交谈花费了太长时间。我承认这一点，这让我很困扰，我没有在设置时间内成功，但是嘿，除了时间之外，这是我的胜利！对于那些没有阅读规则的人，这里还有： 获得至少 1 百万克朗（百万富翁！！） 不要被抓住（非常重要！） 不要以任何方式给任何人带来麻烦（做好事，不要做坏事） 任务必须在周一之前完成（时间更长，我会感到无聊） 提高安全性，这样其他人就无法完成（重点！） IT 安全方法是我的热情，但在当今世界，计算机安全和物理安全之间的界限确实很模糊。例如，如果门没有锁，让你带着服务器走出去，那么完美设置的防火墙有什么用呢？或者，如果您将强密码写在计算机旁边，那么它有什么用呢？这是我想在这次挑战中包含的内容。早在 90 年代末，正是信用卡欺诈的黄金时期，人们在开放的 IRC 渠道中交换了数千张被盗的信用卡详细信息。这些人大多数都坐在家里，甚至没有使用代理或加密。他们闯入了网上商店和刚刚开始在线业务的公司，他们对计算机一无所知，甚至在易于访问的服务器上有信用卡的明文列表。人们用信用卡交换更多的信用卡或其他东西，如Webshell、密码和僵尸网络。只要被盗资金低于调查成本，这些犯罪行为就不会被调查，而且我们都知道这些无能的计算机人员收取的费用是多么不切实际。今天仍然如此……如果将盗窃/欺诈的数量与用户数量进行比较，我甚至相信当时的互联网犯罪要多得多。所以不，在那个时代，情况并没有好得多，只是没有被认为那么严重。我为什么要讲这个？因为即使这是十年前，信用卡仍然是最容易的金钱来源之一，也是任何犯罪分子的目标。假设他们知道自己在做什么，我的目标也是一样的。受害者如果我们再采取一步，受害者就会发生这样的情况：现在是周末，这意味着人们很乐意在酒吧/俱乐部花很多钱。当然，他们并不完全清醒，也不会关注他们的银行账户被抢劫。第二天，在宿醉的状态下，他们会意识到昨晚有人偷走了他们的信用卡信息以及他们所有的钱。记忆有点模糊，但他们记得使用信用卡两次，一次付给调酒师，然后付给出租车司机。当然是其中之一！或者也许是您在南极度假时被盗刷的？这些该死的企鹅！每次您作为客人用信用卡付款时，调酒师在充值后都会将五件物品放在吧台上。您的信用卡 您的身份证件 您的收据 一支笔 酒吧的收据供您签名 您拿走#1、#2、#3，带着啤酒走向您的朋友，将#4 和#5 留在吧台上。另一方面，当您在收据上签字并离开时，调酒师会继续承受压力，继续为其他顾客服务。当吧台上有几张签名收据时，它们就会被收集到钱箱中。我是一位特别友好的客人，我帮助调酒师在我的钱箱（我的口袋）里收集了一些。不是全部，我是个懒惰的混蛋，当然不想让调酒师失业！哦，是的，它可能也会引起一些问题，所有收据都不见了。

你知道当你想点啤酒时要引起调酒师的注意是多么不可能，我在拿收据时也受到了同样多的关注。 30分钟后我就有了十个。假设我将平均每小时 20 张持续五个小时，这将为我们提供 100 张收据。那么100张纸能做什么呢？好吧，现在恰好有一些有趣的东西可以帮助我赚到 1,000,000 克朗。技术 每张收据上都包含以下数据： 完整的信用卡号 卡的到期日期 姓名或完整的出生日期 因此，我们获得了在线使用他们的卡所需的一切，除了缺少 CCV（背面的 3 位代码）之外，这使得这个技巧有点麻烦。要计算 CCV，我们可以使用以下公式： PAN x ED x SC x CVK == CCV PAN == 主账号 ED == 到期日期 SD == 服务代码，可能为“000”，但只有发卡行知道 CVK == 一些 DES 密钥只有发卡行知道 CCV == 信用卡验证，背面印有防止欺诈的 3 位数代码 简而言之，我们无法使用任何算法来获取 CCV，因为我们不知道 SD 和 SVK。安全性不错，我喜欢！但仅缺少 3 位代码并不能阻止我们。使用暴力破解，每张卡最多可尝试 1000 次，平均可尝试 500 次，这几乎是所有脚本小子的梦想。更简单的是，我们可以从不需要 CCV 的众多在线商店之一取款或购买商品（我听说过美国吗？）。为了检验我的理论，我开始暴力破解一张主要的信用卡。 15 分钟后，我填满了我的扑克帐户，只是测试 001、002、003……这是手动完成的，但一个小脚本可能需要同样长的时间来创建和自动化该过程，以备将来滥用。这不应该触发一些安全系统吗？我触发了什么吗？没关系，我仍然成功提取了钱，所以任何让银行警觉的保护措施都太晚了。还没等有人注意到，钱就已经不见了。哦，据我的朋友说，这张卡仍然可以使用，他允许我使用他的卡。谢谢T！ =) 洗钱下一步就是把钱放进我的口袋里，这不是什么大问题，遗憾的是有很多广泛使用的技术。最流行的是使用被黑的扑克账户，用偷来的钱填充它，“丢失”到另一个被黑的账户，然后是另一个……然后取出你的“合法”钱。您甚至可能会在不良扑克玩家和被黑的账户上赚到一些钱。尝试给扑克网站打电话，告诉他们有人黑了你的账户并损失了你所有的钱，他们当然会给你钱

进一步阅读

• 信用卡 — 维基百科
• 信用卡 — 维基百科
• 支付卡号 — 维基百科
• 到期日期 — 维基百科