• XSS.stack #1 – первый литературный журнал от юзеров форума

!!!!Голая правда о WebMoney!!!!

Отслеживать
Mail2k

Mail2k

(L2) cache
Пользователь
Регистрация
24.05.2006
Сообщения
379
Реакции
8
Не знал в какой раздел запостить данную тему,поэтому решил запостить во флейме.

Тут один мой знакомый дал интересную статейку почить из журнала Хакер.

Думаю,тем,кто не читал, она очень даже заинтересует,поскольку все из нас или большинство пользуются электронной платёжно системой вебмани.

Вообщем читаем и отписываемся.

Очень интересно было бы услышать мнения от людей,который занимаются програмированием и которые проводили или могли бы провести аналогичное исследование кипера(так сказать, независимое расследование :),о котором рассказывается в данной статье.

Вообщем читаем :)
 

Вложения

  • webmoney.rar
    1.7 МБ · Просмотры: 540
Мда...интересная статья, получается, что WM Keeper действительно что типа бомбы замедленного действия, устанавливает не стабильные драйвера, и собирает полную инфу о машине
Интересно куда и главное кому все эти данные передаются?
В принципе, в статье даётся намёк, что драйвер citio.sys спокойно может как открывать шелл с правами админа так и повесить систему, после этого становится как то не по себе
Конечно, можно пользоваться альтернативными платёжными системами, но как говорится пока гром не грянет, мужик не перекрестится :)
 
Robin Gud
Так можно юзать облегченную версию..
А вообще статейка понравилась!!!
В тему:
Кто знает, что дядя Бил запихнул в свой черный ящик??
Мысль:
а почему бы не выпустить пиратскую версию винды с какими нить своими наворотами... <_<
 
Помоему в соглашении написано было, что в случае кидков/воровства и еще чего для них не составит труда найти преступника. А вот и способ обнаружился - ничо удивительно. При регистрации Винды такаяже бадяга - отсылает важную приватную информацию. Думайте нужны кому наши данные?

Кстати в сентябре вступил в силу закон о том что запрещено создавать базы данных о людях без разрешения. Дело конечно исходно идет о придурках с улици которые опрашивают людей, получают важные данные, но подставить и в сабж можно и получить от компании пару сотен ВМЗ)))
 
Работаю с WebMoney с 2000 года, в том числе со всеми их автоматизированными интерфейсами https, XML, Merchant.
Работал также с E-Gold автоматизированными интерфейсами. С мерчантами от Robox, Rupay, 2checkout, cyberplat и т.д.
Могу сказать что E-Gold проще взломать чем WM.
ИМХО у Webmoney самая нормальная защита от всяких злоумышленников.
Кошельки локают, потому что сейчас очень много мошенников и кидал. И у WMT сейчас идет политика, чтобы все получали персональные аттестаты. Человек имеющий персональный аттестат уже не аноним и следовательно в сделках будет вести себя уже аккуратнее. Так что WMT понять можно.
 
Я с системой Webmoney Transfer работал как разработчик, и могу сказать, что там всё весьма и весьма серьёзно. Я, конечно, не разрабатывал сам Keeper, а лишь писал многочисленные шлюзы к этой платёжной системе. О его агрессивном поведении в принципе давно знал, но тешил себя одним объяснением - вся собираемая информация необходима для поддержания механизма защиты при активации Webmoney Keeper с другого оборудования, и для обеспечения механизма "антизахвата" кипера другими приложениями. Но всё равно, мне кажется, что с защитными механизмами у аффтаров явный перебор. Рушить систему и делать в ней дыры - кто на это пойдёт? В целом можно сделать один вывод - Webmoney Keeper, самый совершенный троян всех времён и народов, обладающий рядом полезных функций. :) Мне интересен один вопрос - какой объём информации из собранного в системе передаётся на сервера Webmoney? Эх, как хочется заглянуть в исходнички этого кипера...
 
Самое лучшее это нал или банк (но смотря какой).
А кредитка - это тот же самый банк. Просто это средство расчетов. Вот когда ты начинаешь рассчитываться в инете по кредитке или снимать деньги в банкомате вот тогда опасно уже и на кредитке становиться хранить.
Но все равно для автоматизированных систем оплат в России пока что лучше вебмани не придумали ничего. Да и было бы из чего выбирать.....
 
ну что за паника вокруг третьесортной статьи! вы что забыли что за журнал? :)

во первых: нужно таки читать лицензионное соглашение иногда

во вторых: кто не знал, что айпи сторится и что это делается легально!?

в третьих: лучше драйвер, нежели перехват апи, правда?

в четверых: о том, что автор постоянно бросается фразой: "мне лень дальше смотреть" еще раз говорит о третьесортном журнале и о том, что автор просто не знает, что нужно делать, что он только и умеет искать строки и апи ф-ции :)

в пятых: насчет виртуалки - это вообще полный гон :) автору не приходило в голову, что дефолтные настройки железа просто залочены, потому что кидалы постарались? а не причина в какой то секретной базе и что вина всему теория заговора :)
есть намного более точные способа узнать запущено ли приложение на виртуалке

в шестых: насчет открытия это тоже полнейший гон :) почему не открываются соурсы? потому что переживают за клиентов, подумайте что тогда начнется...
эксперты укажут на баги, но девелоперы об этом узнают последними :)

в седьмых: такое чувство, что автор только слышал о многомиллионном народе фанатов линукса, хотя сам к ним не относится :) вебмани в первую очередь расчитано на юзеров снг, а какая у нас ос юзается на 97%? :)

в восьмых:
"не секрет, что многие используют WebMany в основном для совершения анонимных платежей"
ага! не секрет, что все данные должны быть реальными

в девятых:
Я повторяю еще раз: нормально спроектированый платежный клиент работает исключительно на прикладном уровне, а не вгрызается в систему
можно подумать, что этот ацкий аффтар, каждый день занимается проектированием подобых платежных систем :) хотя видно, что он читал что то, что лежало возле книги: "Защищенный код".

Если на систему проникла зловредная программа, захватившая администраторские права (а такие права заполучить очень легко)
легко это потому что где то 95% юзеров сидят под админом :) или автор думал о 0Ring ?

а о противостоянии двух драйверов, можно снимать научно-фантастический фильм // неплохой такой экшен будет //



в общем хватит, даже не читать, хватит всерьез воспринимать подобные статьи из подобных изданий
 
Ну и мое сугубое(ИМХО)
{

Да, они собирают информацию о железе, тот же мак адрес и тот же IP. Если пораскинуть мозгами не теми идиотскими коими была написанна эта статья то выясняется что сбор информации проходит:
а) в целях создания уникального индификатора компьютера. Это же для ВАС делается, чтобы ВЫ потом не жаловались в тот же ВМ саппорт, что какой-то нехороший дядка утянул ваши ключи и спокойно без активации перевел себе деньги.
б) в целях того чтобы если уж пункт 2 случился найти этого нехорошего дядьку и наказать
в) в целях того чтобы найти людей занимающихся незаконными вещами. Да ИМЕННО а что Вы хотели ? В банк вы прийдете покажете пасспорт с паспорта снимут копию страниц с пропиской, фотографию и фио и только тогда ВАм разрешат получать и принимать платежи. А коль система ВМ пытается быть в законе, то на кой х*й им надо получать проблемы органиами из-за отмываением денег ?

По поводу драйверов и того, что система становится дырявее это бред полнейший ! Да вы представляете сколько дров у Вас в системе понатыкали тот же АВП или аутпост и прочая хрень ? Эти дрова я дизасмил лично и могу ручаться за то, что никакой опасности они не представляют они лишь пытаются поднять уровень безопасности, для ВАШЕГО же блага. Естественно что они делают и что записывают на винт это интересно :) Уверяю что ничего плохого :)

Вам выбирать или пользоваться или нет. Если у вас на кошелях может быть только грязь, то я бы посовтеовал не пользоваться кипером. Если грязи дохера, кипер очень нравится, то заплатите докуя денег и ВАм без сомения сделают тот же кипер только уже более лояльный с прививками "под дурака"

Еще раз статья - полный бред. Хаксор еще раз подтверждает свое клеймо с большой буквы "Д"
}
 
Надо же... по-моему дураку понятно как стоит воспринимать эту статью и, что в таком стиле она написана специально. Ну кому будет интересно читать пункты из лицензионного соглашения и кучу идовских листингов? Одному, двум? А тут вы даже отсканить не поленились и написать кучу отзывов.
Что касается компетентности автора в вопросе исследования ПО, то тут асболютно никаких сомнений не возникает.
Судить же о авторах, которые пишут в Хакер, о их уровне знаний, по статьям, бессмысленно, это ровным счётом НИЧЕГО не говорит о авторе.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх