Биллинг система провайдера: что можно поиметь?

[Winux]

Вот удалось "подключиться" и затарить биллинг систему провайдера. Что это вообще такое. Базу слить не удалось (хотя есть реквизиты в конфиге). Посмотрите кому не лень. Судя по всему биллинг не самописный и может уже поковыреный.

Добавлено в [time]1219446082[/time]
Еще есть подключение к админке вот этого:
Catalyst 2960 Series Device Manager - ADSL-SW3

 

[Одинокий Волк]

Судя по всему биллинг не самописный и может уже поковыреный.

Судя по коду либо самописный либо переписанный какой то скрипт странно что комментарии в коде вперемешку английские и русские
Больше всего понравились инъекции в каждом запросе! и пароли в открытом виде.
Код под пхп4 написан, на 5 не будет работать

 

[Одинокий Волк]

Бля я плачу, самое позитивное в этом чудо-биллинге возможность подмены данных при пополнение счёта когда вводишь данные карты я так и не понял почему в полях hidden есть параметр сумма карты который можно подменить и нигде это не проверяется дальше по запросам )))

        <input type=hidden name=CardNumber value=\"".$CardNumber."\">
        <input type=hidden name=PinCard value=\"".$PinCard."\">
        <input type=hidden name=SummaTransfer value=\"".$SummaTransfer."\">
        <input type=hidden name=parm value=\"".$parm."\">
        <input type=hidden name=AccountID value=\"".$AccountID."\">
        <input type=hidden name=card_summa value=\"".$card_summa."\">
        <input type=hidden name=form value=\"1\">

смотрим зачисление денег

     // определим ID счета по ID_карты
     $CardID = $buf[0][CardID];
     $sql = "exec ServiceAccountGet @ID = ".$buf[0][CardID];
     $buf = get_rows(db_query($sql,$Connect));

     // переводим деньги
     if($parm==7)
      {
       $sql = "exec PaymentTransfer @SourceAccID = '" . $AccountID . "', @DestAccID = '" . $buf[0][ParentID] . "', @Sum = '" . str_replace(' ', '', $SummaTransfer) . "'";
       $sql .= ", @WebUserID = '". $s[ID] . "'";

      }
     if($parm==9)
     {
      $sql = "exec PaymentTransfer @DestAccID = '" . $AccountID . "', @SourceAccID = '" . $buf[0][ParentID] . "', @Sum = '" . $card_summa . "'";
      $sql .= ", @WebUserID = '" . $s[ID] . "'";

     }

    $a = db_query($sql,$Connect);
    $buf = get_rows($a);

Таким образом берём любую карту на 10 единиц и подменяем данные формы на 100 000 единиц при этом идёт проверка по номеру карты, а она такая в базе есть настоящая и дальше пишем платёж на наш лиц.счёт на 100 000 единиц :lol2: :lol2: :lol2:

 

[TheSADIST]

ппц, давайте распространим эту билинг систему, всем првайдерам =)

 

[Winux]

Таким образом берём любую карту на 10 единиц и подменяем данные формы на 100 000 единиц при этом идёт проверка по номеру карты, а она такая в базе есть настоящая и дальше пишем платёж на наш лиц.счёт на 100 000 единиц

Прикол в том что карты провайдер пока не продает, а активация карт уже есть. Причем есть уже на оффсайте. Как только карты появятся-попробую чтонить сделать гы=)

 

[mause]

А что за провайдер? Вы же вроде недалече от нас обитаете...

 

[Winux]

mause
Это наш местный. Я пока промолчу какой на всяк случай, но у вас нет его отделения. Если интересует-в асю.

 

[mause]

да собсно уже и не надо) Раз отделения нет, то и узнавать не зачем, меньше знаешь крепче спишь)) вот если бы было... =)))

 

[[Fix]ET]

хз..интересно кто писал это дело..и скок заплатили :fuck:

 

[jet92]

осторойжней как бэ.

думаю самому юзать так с картами не стоит.

но вот за вмз пополнять чужие счета можно=)

 

[Zer0]

Всем пополнить счет по 999999999999 ))