root LFI на бирже с оборотом 50000 BTC

[scoring0]

Продам LFI с рутовыми привилегиями на одной из крупнейших бирж с оборотом 50000+ btc в сутки.
Читается всё - включая /etc/shadow и т.д.

На данный момент слито:

• SSH ключи сервера, конфиги iptables, shadow, passwd, mycnf и тд.
• Основная база REDIS. В ней все API ключи от всех горячих(?) кошельков. API сервера в локалке.
• Еще одна база REDIS(х3 что за база, по идее test, но размером побольше).
• Ключи (ak, sk, region) для доступа в huaweicloud.
• API доступы к их SMS-гейту (работает извне).
• Всевозможные конфиги сервера и еще куча плюшек.

Ценник на текущий момент: 5 BTC

Jabber: localmask@exploit.im (не доходят сообщения с xmpp.jp)
Работаю только через ad0@exploit.im

 

[7eventh]

А в чём смысл продавать если у тебя есть ключи от кошелей и SSH доступ? Мог бы сам взять обработать.

 

[scoring0]

ССШ открыт только во внутреннюю сеть.
API ключи зашифрованы в JWT+AES(но AES ключ есть), расшифровывать и разбираться как JWT работает мне лень, ибо все кошельки опять-же находятся внутри сети.

Забыл самое главное:
Есть исходники API сервера на asp.net в виде DLL. (так же я их диассемблировал и есть проект в Visual Studio со всем кодом)
+ API ключи от гейта Aliyun (alibaba cloud)

 

[scoring0]

API ключи от Aliyun судя по исходникам API дают доступ к пушам в мобильное приложение этой биржи.

 

[scoring0]

Только сегодня при покупке нормально скину по ценнику. Актуально до 30.08 16:00

Добавлены еще 8 модулей сайта в виде DLL.
Все дизассемблируются с помощью .net reflector.

В них описание взаимодействия с БД, signalr, полное описание api вызовов, в т.ч. withdraw, deposit, trade, описание 2fa таблиц, либа работы с aliyun api и еще куча всего. (https://puu.sh/EbcwH/b0765d8287.png)
Получается полный рип(web) API сервера, за исключением основной базы.
Как выяснилось - redis работает кэширующим сервером запросов к основной базе.

 

[scoring0]

Финальный ценник - 2 BTC.
В понедельник сливаю багу по ББ.

 

[m00r]

stoi

 

[salsa20]

мог бы им просто продать за большую цену

 

[scoring0]

К сожалению забыл отписать, что продано.