(16-05-2018, 21:07)TheHacker Skrev: Davs igen... Så kom der en lille tutorial igen :)
Beskrivelse:
Med lidt hjerne og forståelse indenfor POST Requests, så kan du hacke dig frem til dit næste måltid.
Jeg anbefaler ikke at du gør dette, medmindre du er en som ejer sådan en her maskine, da det kan få store konsekvenser.

Denne tutorial er kun til educational purposes only (udelukkende til uddannelsesformål) og er blevet rapporteret og vil derfor højst sandsynligt blive fikset snarrest.

Hvad du skal bruge:

• En Go!Vend Automat
  
• En hjerne
  
• En platform/program/addon til at fange/sende POST Requests (hvis du ikke ved hvordan man gør det, så behøver du ikke at læse videre)
  

Lad os begynde:

De har lavet deres API på denne "fantastiske" måde med, at du blot kan sende en request, som normalt bliver lavet, når du har overført et beløb til automaten. Denne request er åben og har ingen næsten ingen form for validering.

Først skal du fange requesten. Det går jeg ud fra at du ved hvordan man gør... (burp, fiddler... andet mitm program)

Nu kommer den sjove part! :D
Du skal nu blot gensende requesten som sørger for at maskinen ved at den har "modtaget" penge.

En request kan se sådan her ud:

Spoiler (Click to View)

I det øjeblik denne request vil blive sendt, vil maskinen automatisk tro at den har fået overført penge og du kan derfor ændre værdien, YY,som du har lyst til. Så hvis du ville have en ting til 17 kr., så kan du blot skrive 17 ind på YY's plads.

XXXXXXXXXXXXXXX er maskinens ID og kan findes ved at fange requesten eller blot finde en QR scanner og scanne QR koden.

ZZZZZZZZZZZZZZZZZZZZZZZZZZZZ er det som gør at du skal ud til maskinen igen senere og fange en ny request, fordi den udløber efter x antal tid.


Det er som sagt allerede blevet sagt videre til virksomheden, Go!Vend, som er partnere med Arla.


 - TheHacker, ude

Så meget respekt til dig for, at dele dette med os. For mig handler det ikke så meget om, at kunne udnytte systemet. For mig handler det om, at kunne gøre en forskel i verden ved at os de teknologiske eksperter og menneskelige eksperter kan være med til, at formindske kriminaliteten på en eller anden syg måde. Har selv været kriminel hele mit liv nærmest og kan godt se, at det sgu ikke er vejen frem.

Synes det kunne være fedt at lave en eller anden alliance hvor firmaer kunne byde os på at teste deres produkter for dem og så give os løn eller karriere muligheder. I stedet for det her med at røve Mac Donalds for cheeseburgere og sådan noget.

Jeg ved godt selv at jeg stadig ikke er på den hvide side, men jeg tænker da i det mindste over, at gøre noget ved mit problem. Det håber jeg i har forståelse for.

Fedt at du delte dette, gav mig lige dagens optur.

Det bringer minder frem
For mange år siden var standard-"koden" på mange sodavandsautomater med 4 typer produkter i, at man trykkede hurtigt på de 4 knapper i den rigtige rækkefølge (4-2-3-1). Herefter fik man et admin interface op, og kunne justere priser og temperaturer og lign.
Nu er de kommet på IP netværk, men stadig med samme sikkerhedsniveau