(вся информация предоставленная здесь - чисто для образовательных целей, никакого отношения к реальным трекам карт и названиям банков она не имеет, использование данной информации может привести к нарушению закона многих государств) ВСТУПЛЕНИЕ Данная статья не претендует быть пособием в полной мере по этой теме, однако здесь затронуты многие ключевые моменты, которые явно указывают на то, как работает технология в целом. Сразу хочу заметить, что на данный момент становиться все меньше и меньше банков, подверженных описанной ниже уязвимости, однако, они все еще существуют. И если кто-то просто новичок и хочет попробовать или оказался настолько дубовым, что за все 4 года, которые тема находится в разработке так и не вник, как применяется эта уязвимость - это тема для него. ВНИМАНИЕ: если кто-то собирается делать что-то по этой теме на территории россии или бывшего СНГ, ПРЕДУПРЕЖДАЕМ: 1. практически ничего работать не будет работать, так как большинств подобных бинов запрещено к использованию на территории РФ и СНГ эмиитентами 2. осуществляя описанное в этой статье вы нарушаете сразу несколько законов и очень рискуете быть пойманными, заработав при этом копейки - примеров на то МАССА. Не забывайте, что практически все банкоматы оборудованны камерами. Для тех кто в танке: тема находится в разработке с 2002 года. До сих пор материалы по этой теме обсуждались на закрытых форумах. На данный момент я считаю, что тема достаточно изжила себя, чтобы передать в массы. Вопрос: Много говорят о возможности генерирования. Но насколько это реально? Ответ: Генерация дебетных и некоторых кредитных дампов из номера экспайра и цвв2, основана на слабой структуре я бы назвал ненасыщенной структуре некоторых дампов к примеру рассмотрим: кредитный дамп флита B4305500092327108^MISKOWICZ/CHRIS J^04011011000000426000000 4305500092327108=040110110000426 что мы видим 0401 экспайр 101 и 1 сервис код далее нули и 426 цвв (не путать с цвв2 хотя они и связаны) нету пвв и прочих наворотов, ну а нули это тривиальность всегда, думать не надо рассмотрим теперь дамп мбна: 4264294318344118=04021010000044500000 тоже самое аналогичная картина все что нам нужно это добыть заветное цвв, это отдельная тема. также генерация основывается на слабой проверке банками своих контрольных значений у дебеток то есть структура дампа может быть насыщенной, но проверка идет по номеру экспайр и допустим цвв остальные параметра не чекаются лишь бы была соблюдена структура трэка2 (я слышал что в некоторых банках не чекается и это) с чем связана сия халатность не возьму в толк, но баги имеют место быть во многих крупных и мелких штатовских банках. Именно в банках, потому как сверка идет через них. Для кредиток уязвимость именно в дампе. рассмотрим для примера дебетный дамп Branch Banking and Trust Company: 4661880015236844=05051010113701056 трэк явно кишит проверочными значениями 13701 типа пвв или еще что-то 056 похоже цвв вот только не проверяется ни одно ни второе и трэк2 4661880015236844=05051010100000000 для банкинг траст компани аналогичен родному, приведенному выше. Можно еще привести старую-добрую Бофу в пример насыщенной структуры, но... в лом ) Вопрос: Существуют ли другие варианты восстановления значения второго трека? Ответ:Я не стану пояснять принцип работы технологии DES, 3DES и т.д. - в кратце обїяснб прицип... Для начало скучно - и для тех, кто знает, можно пропустить... Итак, все работает по системе приватный-публичный ключ... Соответственно приватный имеется только в банке, публичный - и есть одно из значений на креде - для каждого банка по своему... Кроме того наличиствует еще очень интерестная феничка - назовем ее шифровальная матрица, т.е. образец, по которому и происходит энкрипция при выдаче пин-кода... Это стандарт. К счастью, некоторые банки, очень многих стран жестко принеберегают вышеприведенным стандартом, что и приводит к описанным в ответе на предидущий вопрос последствиям... Однако, многие банки соблюдают стандарт, но это тоже еще не значит, что к информации нельзя подкрасться... Примеры: израиль, начало 2002 года... В иизраиле наличиствует большое количество, скажем так, терминалов, которые расставленны прямо на уоицах, позволябших проверить например состояние счета, произвести операции итд... В израильской кредитно-карточной(с) ;-) системе есть и еще одна фенечка - банкоматы, кроме всего необходимого софта еще содержат значение, с помощью которого определенным образом и при наличии некоторой информации можно было проверять правильность пин кода, но в результате операции с вышеописанным значением результатом был не сам пин, а булово значение да или нет. Совсем не сложно понять, что перебрать 9999 комбинаций намного проще, чем 10 в десятой степени... Кто-то не верит и живет в Израиле - пожалуйста, пример, подойдите к банкомату, засуньте свою карточку, вводите пин - заметьте - если вы вводите пин непраильно - результат вы увидите сразу, а не после авторизации... Отключаем провод от терминала (с банкоматами не проходит - выключаются за отсутствием связи) - тот же результат, принимает только правильный пин... Вот именно на этом принципе нами был вычислен ряд пинов к кредам банка дисконт... Да и кроме того, при развитии современных спаммерских технеологий, интернет червей и всего остального - набор нужного объема вычислительных мощностей для перебора пинов к картам не представляет труда... Софт имеется - кого интересует, могу поделится... Но нужно идти далее и тянуть ключи банков - не это ли мечта? При наличии банкоского ключа - реверсия пина производится очень быстро... Думайте, господа кардеры BadB (c)2006 в данной статье использованны материалы других людей, которые, возможно, хотели бы не аффишировать своих имен
