24 Января 2018

Как мы спасали пёсика

Здравствуйте, друзья. У меня тут приключение произошло 10 дней назад. В общем вкололи мне уже 3 укола от бешенства. А все было так. Попросила меня приятельница моя отвезти её в травмпункт, мол колено ушибла. Едем с ней, а она с кем то по телефону разговаривает и объясняет, как изловить собакена. По разговору поняла, что пёсик в руки не даётся, а девушка боиться его, кусачий он, негодяй. Слышно, что всхлипывает. Ну я и предложила пёсика помочь изловить, отвезти на передержку, а потом в травмпункт. Передержку нашли уже, а пёсочку из машины около магазина дрбрые люди выкинули и были таковы. Девушка видела весь процесс. Приехали, а это все около школы в пересменку, кругом детишки, родители, бабушки. Девушка уже полкило сосисок скормила щену, овчаренок месяцев 4-5, поймать на поводок не может, на шее ошейник есть. Приятельница с больной ногой, девушка Катя не профи, я вообще кошатница, но уже год собака есть Дуся. Но Дуся добрейшей души человек, а это СОБАКА.  Я решила, что изловлю её, чего быто мне это не стоило, иначе убежит пёсик, а мне потом ночей не спать из за нее от жалости. У меня в машине и переноска, и еда для животных, и перчатки. В общем в перчатках не получается. Поймала, он как закричит нечеловеческим голосом, лежит на снегу, орет благим матом, цапнуть норовит. Короче, когда подняла его, он меня всё таки за руку ухватил и жамкает, пока его до машины несла. В машине успокоился, согрелся и замнул, мы его отвезли на передержку, на сегодня ему уже хозяев нашли. А мы  с приятельницей и девушкой Катей поехали обратно, в город. В травмпункте вылечили и приятельницу, и меня - впороли уколы от бешенства и столбняка. Хожу теперь раз в три дня на уколы. Жду сегодня звонка, о здоровье пёсика, чтобы отказаться от остальных уколов. Обидно, что в травмпункте сказали, узнав историю, что когда коту делать нечего, он сам знаете что. А я не кот, я мама Кошка, меня так друзья прозвали и муж.

108

Уязвимость exchanger1

Уязвимость exchanger1

В этой статье, я опишу весьма интересную с точки зрения логики находку.

Я дал людям на фикс 30 дней. Увы, благодарить администрация не умеет )


Часть 1



Я говорю о безопасности пользователей в общем.


Часть полученного вознаграждения я вывел используя ваш обменник.


Мне стало забавно почитать о вашем проекте подробнее и я наткнулся на "https://exchanger1.com/page/about" .


Пункт 4 вкладки "Безопасность работы с нами", говорит нам о защите любых данных пользователей. (Все это гарантирует сохранность любых данных пользователей на нашем сайте.)



Весьма громкое заявление !


Учитывая все факторы, я обнаружил весьма серьезную уязвимость в системе помощи пользователям.


Злоумышленник может получать доступ к тикетам и писать в них от имени администрации!


также можно просто закрыть тикет.


Неправильное разграничение привилегий может нести за собой большие последствия...



Часть 2



В результате исследования модуля помощи клиентам, также была найдена уязвимость в реализации api.


Злоумышленник может Деанонимизировать транзакции пользователя.


Рабочий пример:


Я перебрал транзакции пользователей по номеру тикета.


https://pix.my/o/8a9Tvk?1513363007=


Получился достаточно большой результат.


транзакция на обмен 300$ пренадлежит автору тикета N-320014. (


23:00 21.11.2017 )


По номеру тикета, api выдает нам информацию кодированную в Unicode.


Полученная транзакция в свою очередь содержит суммы переводов.



Пример расшифровки ответа api на транзакцию 320014:



{"error":false,"_content":{"#trx-status":"<h5>


<small>Статус:</small> Завершена</h5>


<div class="description">


<a href="/exchange/status/8661199">Заявка № 8 661 199</a>


</div>


<div class="exchange-error">


<div class="money-error">


<span class="first-currency">300,00</span>



<div class="image-wrapper">


<img class="currency_logo"


src="/bundles/x2face/images/currency/advcash.png"


height="27" width="27" alt="#">


</div>


<span class="money">USD</span>


</div>


<div class="money-error">


<span class="second-currency">7 800,00</span>



<div class="image-wrapper">


<img class="currency_logo"


src="/bundles/x2face/images/currency/visamaster.png"


height="24" width="24" alt="#">


</div>


<span class="money">UAH</span>


</div>


</div>


<div class="time-money">


<a class="btn small status" href="#" data-exec="jQuery(this).closest('form').trigger('submit');">Проверить статус</a>


</div>exchanger_pm"}}



Техническая и детальная информация:



1) для получения доступа к чужому тикету, злоумышленнику достаточно заменить идентификатор.


Злоумышленник может от имени администрации попросить пользователя выслать ту или иную информацию.



2) для получения транзакции по id тикета, злоумышленику достаточно совершить GET запрос на:


https://exchanger1.com/profile/tickets/history/{$ID}/status


позже декодировать полученную информацию.



Простой вектор атаки:


найти транзакцию и получить ее сумму.(используя баг в api)


Располагая этой информацией, попросить пользователя подтвердить свои документы.



Статистика:


Перебрав диапазон в 160 тикетов, я получил доступ к 31 транзакции.

Показать полностью
10

Мистер "Нет проблем". Глава 7

- Ты серьёзно? Ввязался в драку со старухой-гадалкой? – За искренним удивлением Рори последовала волна смеха, затянувшаяся на ближайшие минут десять.

Арчи сидел напротив и покручивал в руках добытый недавно браслет. Пока Рори от души хохотал и продолжал задавать дразнящие вопросы из серии «А как у неё хук справа?» или «Ты хоть достойно держался?», Арчибальд совершенно не разделял этой радости и ничего не отвечал. С момента возвращения после очередного успешно выполненного задания он был сам не свой. Рори этого будто и не замечал, но у его компаньона был такой вид, словно тот недавно сделал что-то непоправимо ужасное и погряз в затяжной депрессии.


Даже получив на следующее утро свою долю прибыли, Арчибальд по-прежнему оставался молчаливым и безучастным, когда Рори, воодушевлённый появлением очередного клиента, что-то вещал вполголоса на весь кабинет. Однако уже после возвращения Арчи с нового поручения радостный настрой Рори поугас, а Арчибальд наконец-то вымолвил хоть что-то. На этот раз заказчик обратился не с целью что-либо найти или вернуть – просьба заключалась в том, чтобы вывести из строя один дорогой автомобиль. Богатые детишки что-то между собой не поделили, и один из них решил таким способом подгадить другому.


- Блять! – после своего красноречивого высказывания Арчи уселся на дальний стул в офисе и принялся осматривать левую кисть, обвязанную какой-то тряпкой. Сделанная наспех перевязка насквозь пропиталась кровью, которая медленно капала на пол.


- Арчи, какого чёрта, это ещё что?


- Это называется порез, партнёр. Если б ты тоже копошился в автомобильных моторах, а не просиживал здесь жопу, то наверняка бы знал, что это такое.


Рори не придал значения недовольному тону Арчибальда, а выдержал небольшую паузу, дав своему подельнику немного остыть.


- Так и что произошло-то? Тебе достаточно было крутануть пару болтов и порезать провода. Я думал, это не составит особого труда для того, кому нужные вещи чуть ли не сами прыгают в руки. Ладно, сейчас вызовем тебе скорую, не кипятись.


Фельдшеры подоспели меньше чем за пятнадцать минут после звонка Рори и, поколдовав немного над рукой Арчибальда, незамедлительно удалились. Арчи немного успокоился, но градус напряжения в кабинете от этого будто бы только возрос. Оба присутствовавших безмолвно сидели до тех пор, пока Рори, отвлёкшийся от каких-то серьёзных раздумий, не нарушил тишину.


- А знаешь, ступай-ка ты домой. Отдохни, расслабься. Я тебя наберу, если подвернётся что-то менее травмоопасное. Пусть рука заживает пока.


Арчи, не долго думая, встал и направился к выходу, но задержался у самой двери.


- Слушай, тебе, кстати, не кажется, что пора вернуть мой кошелёк со всем его содержимым?


- Я думал, ты давно уже восстановил свои документы, и забыл об этом, - удивлённо ответил Рори. – Но да, без проблем, они, кажется, где-то здесь.


Рори полез в нижний ящик своего стола и достал оттуда кошелёк Арчибальда, который выпал у того из кармана во время побега через окно.


- Вот держи.


Арчи взял кошелёк, но не спешил уходить.


- А знаешь, не считая того случая с кошельком, сегодняшняя неурядица с рукой – далеко не первый случай, когда моё везение давало сбой, скажем так.


- К чему ты клонишь, Арчи?


- Сразу после знакомства с тобой, всё стало выходить не так гладко, как прежде.


- Стоп, стоп, стоп. Ты что, решил свалить? – настороженно поинтересовался Рори.


- Поговорим об этом как-нибудь потом, - сказал Арчибальд и покинул офис.


Вид у Рори стал ещё более озабоченный. Уход Арчи совсем не входил в его планы, ведь это похерило бы всё предприятие, которое всё стремительнее набирало обороты с каждым днём. Кроме того, до сих пор вероятность ухода Арчибальда казалась просто мизерной. Завязав с тревожными раздумьями, Рори начал активно что-то искать у себя на столе, в частности, перебирал бумажки с различными адресами, телефонами и заметками.


- А, вот ты где! – найдя, наконец, заветную бумажку, Рори подскочил с места, схватил пиджак со спинки стула и поспешил туда, где, как он считал, крылось решение всех возникших проблем.

Показать полностью
3

Бесплатный сыр только в мышеловке

Бесплатный сыр только в мышеловке

Наверняка многие слышали про нового оператора Danycom, который обещает полгода бесплатной связи, а с 1 июня тарифы по достаточно демократичным ценам. Хоть и отношусь я ко всему этому достаточно скептически, а почему бы не попробовать? Несколько лет назад я так же скептически относился к Yota и полностью безлимитному интернету, но всё же стал их абонентом. Решился, зашел на сайт, выбрал номер, отправил заявку в 20-х числах декабря. Вроде всё гладко, статус моей заявки отслеживается. Ближе к новому году мне позвонил оператор Danycom, сообщил, мол ждите сим-карту, после праздников вам ее привезет курьер. Окей, ждём. Наступило 9 января, никаких звонков. Звоню разузнать где же моя сим-карта, сообщают, мол карта передана курьерской службе. И снова ожидание. Как вдруг 13 января раздался звонок из службы доставки. У меня уточнили данные доставки и сказали, что точную дату сообщат чуть позже как только уточнят у курьера. Окей, ждем. 17 числа был аналогичный звонок и снова ожидание. Сегодня позвонили вновь. И что вы думаете? Снова уточнили данные для доставки. Оператору мне дозвониться не удалось, но, вангую, всю ответственность переложат на курьерскую службу и будут попросту отправлять со всеми вопросами к ним. А служба доставки мне любезно напоминает о том, что все курьеры заняты, а с пункта самовывоза я забрать свою карту не могу. Решил уже окончательно смириться. Есть тут вообще люди, кому удалось подключиться?

Показать полностью
15

RealFeel: Двухэтажная вилла на Бали

Если я вам скажу, что полгода жила в двухэтажной вилле на Бали, вы, вероятно, будете мне завидовать. Если добавлю, что аренда этой виллы составляла 30 тысяч рублей в месяц, вы, возможно, захотите отправиться туда в ближайшее время. Чтобы закрепить ваше желание, я расскажу, что на вилле было три спальни, три туалета и две душевые. Плюс в каждой комнате по кондиционеру и бонусом прилагается относительно большая территория вокруг дома. А что в этой идеальной картинке может пойти не так, и почему я не захочу вернуться туда, даже если она будет стоить 10 тысяч рублей, читайте далее.


Первое, что я сделаю, это заменю слово «вилла» на слово «дом» (потому что по сути это загородный дом). И вот уже потеряно немного шарма. А если не использовать зомбирующее всех название «Бали», то можно прямо сказать, что дом этот находится в деревне. Итак, «дом в индонезийской деревне» звучит уже не так пафосно, но все еще довольно романтично. Идем дальше.

Во многих домах на Бали, и наш не исключение, очень быстро появляется плесень. Самой красивой спальней мы не смогли пользоваться именно из-за того, что кровать, шкаф и все его содержимое были атакованы плесенью. Видимую ее часть можно смыть, но запах не уходит. Кухонные шкафчики мы не использовали по той же причине. Что касается запахов – не забывайте также про отсутствие центральной канализации на острове, в душевых запах плесени перебивается ароматом сельского туалета.

Фото плесени не мое, но суть та же


Вы можете любить гекконов или быть к ним равнодушны, но, правда в том, что порой они действительно раздражают. Мелкие лезут в шкафы с одеждой, спокойно живут в стиральной машине и за кроватью. Крупные (а в деревне вы их непременно встретите) очень громко кричат по ночам и то и дело пугают вас неожиданным появлением в темном коридоре. Еще они очень много гадят. Тут без комментариев, мало приятного.

Само собой, в загородном доме есть муравьи. Очень много муравьев. Еще есть лягушки, которые любят жить в туалете, крупные пауки, которых можно встретить вечерком на кровати, сколопендры, огромные осы, неизвестные мне жуки с большими усищами, змеи, большие летающие тараканы, богомолы и летучие мыши. Это я перечислила только тех, кого видела на территории дома лично.

Ну да хватит о плохом, давайте о романтике. Кругом зелень, тихая деревенька, никакого городского шума, красота! Только до заката. После наступления темноты в деревне все умирает (за исключением петухов и гиперактивных собак). Фонари только на домах, общего освещения в основном нигде нет. Деревенские жители рано ложатся спать и вокруг остаются только звуки ночных животных. Освещение на домах местные советуют оставлять включенными на всю ночь. Не ради красоты, а чтоб воры не залезли. Я не слышала, чтобы это кого-то останавливало, разве что начинающего грабителя с очень яркими особыми приметами. А остальные могут залезть к вам и ночью, и утром, и днем, и вечером.

Фото воров нет, есть красивая картинка из сети

Ну и напоследок о цене. Конечно, все не так сказочно. Даже если вы найдете недорогое жилье, автоматом прибавляйте аренду транспорта+бензин (без байка в деревне вы не сможете купить ни воды, ни еды), интернет, газ, воду и электричество, набегает немало. А если едете на длительный срок, то прибавляем траты на визу и медицинскую страховку. Если вам будет тяжело убирать дом, то приглашайте уборщицу. Это тоже не бесплатно, конечно.

Резюме


Вилла на Бали – это обычный загородный дом в Индонезии, со всеми вытекающими. Если вас не пугает глухая деревенька посреди джунглей, вы сможете здесь жить. Мой совет – пусть это будет хотя бы охраняемый поселок.

Показать полностью 7
6

Мистер "Нет проблем". Глава 6

Пожилая дамочка чуть за шестьдесят вовсе не походила на гадалку или шарлатанку, с которой ассоциируются места, вроде того, где сейчас находился Арчибальд. Эта приятная женщина больше смахивала на бабушку из сказок – такую же добрую, улыбчивую и чуть ли не излучающую свет. Она была облачена в бежевый шерстяной свитер на пуговицах, серую юбку чуть ниже колен и слегка потрёпанные туфли. «Её бы усадить в кресло-качалку, устелить ноги пледом, да вязальные спицы вручить», - подумалось Арчи. При виде этой самой мадам Бетит ему стало как-то спокойнее и легче что ли, ведь по дороге в эту лавку он ясно представлял себе собирательный образ из всевозможных стереотипов и клише, связанных с пророчицами и ведьмами. Но не до такой степени, чтобы ожидать увидеть перед собой горбатую старуху с перепутанными космами и крючковатым носом.


- Чем могу помочь? – вежливо поинтересовалась хозяйка лавки. Голос её закреплял то впечатление, которое она производила одним своим видом. Мягкость чувствовалась в каждом произнесённом слове, а приветливая улыбка, демонстрировавшая подозрительно полный и ровный ряд зубов, чтобы быть настоящим, и вовсе заставляла почувствовать себя до тошноты уютно.


- Здравствуйте. Я тут ищу одну вещь, браслет если точнее. Одна моя знакомая утверждает, что у вас найдётся как раз то, что нужно.

Радушное выражение лица у мадам Бетит заметно омрачилось, но при этом она старалась вести себя непринуждённо.


- Браслеты, хм. Да, я могу вам подобрать кое-что от повышенного давления или для снятия стресса. У меня их не так много, не знаю, остались ли ещё, - хозяйка лавки старалась перевести тему, но буравящий взгляд Арчибальда лишь усиливал её неловкость. Она подошла к одному из стеллажей у стены и начала копошиться в ближайшей коробке.


- Кое-что осталось в запасе. Вам для чего именно, молодой человек? Это вам лично или для кого-то? Кстати, вы раньше ко мне не заходили? Мне кажется, я вас уже где-то видела.


- Послушайте, леди, давайте начистоту. Я пришёл забрать тот самый браслет, который вы недавно украли прямо на улице у одной симпатичной девушки, - Арчи старался произнести это грозно, но на деле прозвучало немного лениво.


Приветливая улыбка теперь окончательно исчезла с лица мадам Бетит. Она оставила в покое коробку, в которой минуту назад усердно искала браслеты, сложила руки перед собой и пристально взглянула на Арчибальда.


- Можете передать этой грязной воровке, которая вас подослала, что ничего она не получит. Эта вещь, - мадам Бетит прикрыла правой ладонью левое запястье, - передавалась среди женщин в моей семье не одно поколение, а затем попала в руки тех, кто совершенно не чтит семейных ценностей. Мне уже не впервой приходится отнимать фамильные реликвии у тех, кому они не принадлежат, и если вы думаете, что я просто так отдам браслет, то глубоко заблуждаетесь.


- Давайте не будем всё усложнять, ладно? Просто отдайте побрякушку и все будут счастливы, - Арчи сделал шаг по направлению к мадам Бетит, которая не раздумывая схватила первое, что попалось под руку, а именно склянку с какими-то листьями, и метнула в него. Арчибальд успел уклониться, так что ёмкость разлетелась вдребезги, ударившись об один из стеллажей. Сам же Арчи ввиду своей неуклюжести потерял равновесие и плюхнулся на задницу, что дало время мадам Бетит прошмыгнуть мимо прямиком к выходу.


Вскочив на ноги, Арчибальд поспешил вдогонку за хозяйкой лавки и сумел нагнать её, едва она выбежала за дверь своего заведения. Арчи, конечно, был тем ещё спринтером, но к счастью для него догонять пришлось пожилую женщину, а не кого-то помоложе и попроворнее. Он схватил мадам Бетит за правую руку чуть выше локтя, чему она сразу же воспротивилась и попыталась вырваться, с переменным успехом наступая Арчибальду на ноги.


- Чёрт возьми, леди, ну хватит уже, в самом-то деле!


Отпусти сейчас же, мерзавец! На помощь! – Кричала она, но на их стороне улицы никого не было, а те немногие, кто проходил через дорогу напротив, лишь мельком обернулись и ускорили шаг.


Увидев приближающийся автомобиль, мадам Бетит перестала вырываться, наступила на ногу Арчибальду ещё раз, из-за чего он слегка ослабил хватку. Воспользовавшись этим, женщина сняла браслет правой рукой, переложила его в левую, иначе не смогла бы замахнуться, и с криком: «Он вам не достанется!» швырнула украшение в сторону проезжей части. Браслет отбился от края лобового стекла как раз приблизившейся машины, затем ударился об фонарный столб и отскочил прямиком в направлении Арчи, который не слишком ловко, но всё же поймал искомую вещицу, оттолкнув при этом мадам Бетит.


Арчибальд покрутил серебряный браслет в руках, затем спрятал его в карман куртки и подошёл к мадам Бетит, которая, судя по тяжким вздохам, слегка ушиблась и пыталась подняться с тротуара.


- Уфф…добился своего? Надеюсь, ты и та стерва горько пожалеете о содеянном, - с трудом произнесла она.


- Полно вам, вставайте, - Арчи протянул мадам Бетит руку, за которую она неохотно взялась, и помог подняться.


Вдруг женщина застыла, схватив и второй рукой ладонь Арчибальда. Сначала она смотрела куда-то в пустоту, но затем с выражением глубокого разочарования взглянула прямо ему в глаза, презрительно хмыкнула и уковыляла обратно в лавку, что-то бормоча себе под нос.

Показать полностью
Мои подписки
Подписывайтесь на интересные вам теги, сообщества, авторов, волны постов — и читайте свои любимые темы в этой ленте.
Чтобы добавить подписку, нужно авторизоваться.

Отличная работа, все прочитано! Выберите