Aceasta este povestea despre cum am găsit o modalitate de a genera bani nelimitați pentru cardurile cadou Starbucks, asigurându-mă astfel cafea gratuită pe viață sau furând câteva milioane de la ele în alte moduri.

Așadar, nu cu mult timp în urmă mi-a venit ideea de a cumpăra 3 carduri Starbucks la 5 USD fiecare.

Starbucks.com are un cont personal în care puteți adăuga aceste carduri, puteți vedea soldul și chiar transfera bani între carduri.

Există o clasă atât de puțin cunoscută de vulnerabilități de „condiție de rasă”. Pot spune cu încredere că majoritatea aplicațiilor care pot fi vulnerabile sunt cel mai probabil vulnerabile la acest atac, deoarece nu orice programator ia în considerare factori precum executarea codului în paralel și consecințele acestuia atunci când proiectează programe.

Apare și în aplicațiile web, de obicei în funcții legate de transferul de bani/puncte/pachet de bomboane/vouchere. Vă voi spune despre toate complexitățile operațiunii altădată, dar deocamdată să revenim la transferul între carduri în Starbucks.

Traducerea a fost construită din mai multe solicitări stateful. Schematic, prima solicitare POST /step1?amount=1&from=wallet1&to=wallet2 a introdus toate aceste valori în sesiune de pe server, iar doar al doilea POST/step2?confirm a transferat datele deja stocate în sesiune și le-a șters.

Acest lucru complică semnificativ funcționarea unei curse relativ clasice, în care trebuie doar să repeți aceeași cerere de mai multe ori în același timp. La urma urmei, de îndată ce prima solicitare șterge sesiunea, a doua întâlnește deja o sesiune goală! Și pentru a face cumva să funcționeze, ar trebui să fac o compunere complexă de solicitări care să scrie în sesiune imediat după ce este șters de prima solicitare și înainte de a executa a doua cerere. Acest lucru ar putea funcționa o dată la un milion de ori sau ar putea să nu funcționeze deloc.

Dar există întotdeauna o soluție pentru astfel de „semi-protecții” - vă puteți conecta la același cont din două browsere/sesiuni diferite. Atunci operația arată cam așa:

#setați parametrii de traducere în ambele sesiuni
curl starbucks/step1 -H „Cookie: session=session1” --data „amount=1&from=wallet1&to=wallet2”
curl starbucks/step1 -H „Cookie: session=session2” --data „amount=1&from=wallet1&to=wallet2”
#aprobarea simultană a transferului de 1 USD de la cardul 1 la cardul 2.
curl starbucks/step2?confirm -H „Cookie: session=session1” & curl starbucks/step2?confirm -H „Cookie: session=session2” &

După 5 încercări nu s-a întâmplat nimic interesant și eram pe cale să renunț. Particularitatea condiției de cursă este că poți încerca să o găsești doar de către un atacator terță parte, deoarece nu se știe ce protecții există (număr de solicitări prin IP? solicitări per cont? solicitări de acțiune?) și singura modalitate de a verifica dacă sunteți vulnerabil este să auditați cu atenție codul sursă pentru prezența unor blocări pesimiste adecvate în baza de date.

La a 6-a cerere s-a întâmplat o minune - transferul s-a făcut de două ori și am avut două carduri cu 15 și 5 dolari, 20 în total. Pentru a considera aceasta o dovadă de concept, tot ce rămâne este să vă asigurați că magazinul va accepta aceste carduri.

M-am dus la cel mai apropiat Starbucks de lucru de pe market st.

Dă-mi ceva în valoare de 16 USD.
- O_o.
- Păi, care este cel mai valoros bun al tău?
- Sandvişurile alea de acolo.

A ieșit la 16,70 USD.

Deci, 15 USD au fost investiți în mica noastră operațiune Y, iar achizițiile au fost făcute la 16,70. Cunoscând atitudinea celei mai umane instanțe din SUA față de hackeri, când m-am întors acasă, am creditat imediat încă 10 dolari de pe cardul meu de credit pe cardul Starbucks, ca să nu datorez corporației cât 1,70 dolari, nu se știe niciodată.

Urmează partea cea mai dificilă - procesul de raportare. Suportul mi-a răspuns sincer că nu m-au putut conecta cu echipa tehnică, ei bine, deloc, și le-a părut foarte rău că m-am simțit așa. Postat de [email protected] 23 martie, tăcere (apropo, au răspuns încă din 29 aprilie). A trebuit să găsesc oameni cărora le păsa prin prietenii și cunoștințele mele și abia după 10 zile vulnerabilitatea a fost remediată.

Nimeni nu a spus mulțumesc, dar s-a făcut un indiciu clar că am comis „fraudă” și „acțiuni rău intenționate” și că se vor gândi în continuare ce să facă cu mine.

Ce as putea sa fac? Aș putea începe o fermă de carduri cadou false achiziționate în diferite magazine din lume, să generez mulți bani pe ele și să le vând pe site-uri promoționale speciale cu o reducere de 50 la sută (pentru a nu trezi suspiciuni) pentru bitcoin. Așa că, după ce ai lucrat un an sau doi, ai putea scoate câteva milioane de dolari de la această companie prietenoasă cu cafea dulce.

Cum am piratat Starbucks pentru cafea nelimitată

• Securitatea informațiilor,
• Dezvoltare site

Aceasta este povestea despre cum am găsit o modalitate de a genera bani nelimitați pentru cardurile cadou Starbucks, asigurându-mă astfel cafea gratuită pe viață sau furând câteva milioane de la ele în alte moduri.

Așadar, nu cu mult timp în urmă mi-a venit ideea de a cumpăra 3 carduri Starbucks la 5 USD fiecare.

Starbucks.com are un cont personal în care puteți adăuga aceste carduri, puteți vedea soldul și chiar transfera bani între carduri.

Există o clasă atât de puțin cunoscută de vulnerabilități de „condiție de rasă”. Pot spune cu încredere că majoritatea aplicațiilor care pot fi vulnerabile sunt cel mai probabil vulnerabile la acest atac, deoarece nu orice programator ia în considerare factori precum executarea codului în paralel și consecințele acestuia atunci când proiectează programe.

Apare și în aplicațiile web, de obicei în funcții legate de transferul de bani/puncte/pachet de bomboane/vouchere. Vă voi spune despre toate complexitățile operațiunii altădată, dar deocamdată să revenim la transferul între carduri în Starbucks.

Traducerea a fost construită din mai multe solicitări stateful. Schematic, prima solicitare POST /step1?amount=1&from=wallet1&to=wallet2 a introdus toate aceste valori în sesiune de pe server, iar doar al doilea POST/step2?confirm a transferat datele deja stocate în sesiune și le-a șters.

Acest lucru complică semnificativ funcționarea unei curse relativ clasice, în care trebuie doar să repeți aceeași cerere de mai multe ori în același timp. La urma urmei, de îndată ce prima solicitare șterge sesiunea, a doua întâlnește deja o sesiune goală! Și pentru a face cumva să funcționeze, ar trebui să fac o compunere complexă de solicitări care să scrie în sesiune imediat după ce este șters de prima solicitare și înainte de a executa a doua cerere. Acest lucru ar putea funcționa o dată la un milion de ori sau ar putea să nu funcționeze deloc.

Dar există întotdeauna o soluție pentru astfel de „semi-protecții” - vă puteți conecta la același cont din două browsere/sesiuni diferite. Atunci operația arată cam așa:

#setați parametrii de traducere în ambele sesiuni
curl starbucks/step1 -H „Cookie: session=session1” --data „amount=1&from=wallet1&to=wallet2”
curl starbucks/step1 -H „Cookie: session=session2” --data „amount=1&from=wallet1&to=wallet2”
#aprobarea simultană a transferului de 1 USD de la cardul 1 la cardul 2.
curl starbucks/step2?confirm -H „Cookie: session=session1” & curl starbucks/step2?confirm -H „Cookie: session=session2” &

După 5 încercări nu s-a întâmplat nimic interesant și eram pe cale să renunț. Particularitatea condiției de cursă este că poți încerca să o găsești doar de către un atacator terță parte, deoarece nu se știe ce protecții există (număr de solicitări prin IP? solicitări per cont? solicitări de acțiune?) și singura modalitate de a verifica dacă sunteți vulnerabil este să auditați cu atenție codul sursă pentru prezența unor blocări pesimiste adecvate în baza de date.

La a 6-a cerere s-a întâmplat o minune - transferul s-a făcut de două ori și am avut două carduri cu 15 și 5 dolari, 20 în total. Pentru a considera aceasta o dovadă de concept, tot ce rămâne este să vă asigurați că magazinul va accepta aceste carduri.

M-am dus la cel mai apropiat Starbucks de lucru de pe market st.

Dă-mi ceva în valoare de 16 USD.
- O_o.
- Păi, care este cel mai valoros bun al tău?
- Sandvişurile alea de acolo.

A ieșit la 16,70 USD.

Deci, 15 USD au fost investiți în mica noastră operațiune Y, iar achizițiile au fost făcute la 16,70. Cunoscând atitudinea celei mai umane instanțe din SUA față de hackeri, când m-am întors acasă, am creditat imediat încă 10 dolari de pe cardul meu de credit pe cardul Starbucks, ca să nu datorez corporației cât 1,70 dolari, nu se știe niciodată.

Urmează partea cea mai dificilă - procesul de raportare. Suportul mi-a răspuns sincer că nu m-au putut conecta cu echipa tehnică, ei bine, deloc, și le-a părut foarte rău că m-am simțit așa. Postat de InformationSecurityServ [email protected] 23 martie, tăcere (apropo, au răspuns încă din 29 aprilie). A trebuit să găsesc oameni cărora le păsa prin prietenii și cunoștințele mele și abia după 10 zile vulnerabilitatea a fost remediată.

Nimeni nu a spus mulțumesc, dar s-a făcut un indiciu clar că am comis „fraudă” și „acțiuni rău intenționate” și că se vor gândi în continuare ce să facă cu mine.

Ce as putea sa fac? Aș putea începe o fermă de carduri cadou false achiziționate în diferite magazine din lume, să generez mulți bani pe ele și să le vând pe site-uri promoționale speciale cu o reducere de 50 la sută (pentru a nu trezi suspiciuni) pentru bitcoin. Așa că, după ce ai lucrat un an sau doi, ai putea scoate câteva milioane de dolari de la această companie prietenoasă cu cafea dulce.

Cafenelele Starbucks sunt un loc popular de relaxare și întâlnire pentru iubitorii de cafea de calitate și o atmosferă relaxată. Compania a început cândva prin a vinde boabe prăjite de marcă, iar acum deschide localuri în care fiecare vizitator poate nu numai să guste o băutură delicioasă de cafea, ci și să ia micul dejun sau o gustare, precum și să achiziționeze echipamente profesionale pentru prepararea cafelei și accesorii de marcă pentru servire. . Reprezentanții companiei din Rusia au grijă de clienții lor și oferă participarea la programul „My Starbucks Rewards”.

Cum să obțineți un card

Orice client al lanțului de cafenele cu vârsta peste 14 ani are dreptul de a primi un card bonus gratuit. Trebuie completat cu numerar și plătit pentru toate bunurile de pe teritoriul cafenelei Starbucks. Pentru fiecare achiziție clientul primește 1 stea. 12 stele colectate dau dreptul de a primi o „recompensă” sub formă de cafea, ceai sau mâncare gratuite, cu excepția plăcintelor și prăjiturii întregi.

Așa arată harta recompenselor.

Suporturile din plastic pot fi emise la orice punct de vânzare Starbucks la casă sau puteți crea un echivalent virtual online în aplicația mobilă Starbucks Rusia. Cardul este activat după înregistrarea pe site www.starbuckscard.ruși prima reaprovizionare.

Caracteristici de utilizare

Cardul Starbucks permite proprietarului să primească bonusuri plăcute, dar trebuie să știți cum sa-l folosesti corect:

1. După înregistrarea în programul My Starbucks Rewards, trebuie să activați cardul pe site www.starbuckscard.ruși depuneți o sumă minimă de 500 de ruble. Activarea are loc în 24 de ore.
2. Pentru a credita bonusuri trebuie să plătiți pentru produs numai Card Starbucks.
3. Recompensa este valabilă 30 de zile de la data atribuirii; dacă această perioadă este evitată, bonusul este resetat la zero.
4. Puteți vizualiza soldul, istoricul debitelor și acumularea bonusurilor și, de asemenea, vă puteți reîncărca contul prin contul personal de pe site-ul www.starbuckscard.ru sau prin aplicația mobilă. Utilizarea acestuia din urmă face posibilă și plata unei comenzi direct de pe ecranul telefonului (la înregistrarea unui card virtual).
5. Pe site-ul companiei este posibil să se configureze reaprovizionarea automată și unică a unui cont de plastic sau media virtual. Pentru a face acest lucru, trebuie să conectați un card bancar de plată în profilul dvs. personal și să efectuați o plată unică sau să configurați o reaprovizionare constantă. Scenarii disponibile: banii vor fi creditați la atingerea soldului minim, într-o anumită zi a fiecărei săptămâni sau zi a lunii.

Niveluri de program

La înregistrarea în sistemul de economii bonus, cumpărătorul primește un card Nivel verde. Pentru a preveni resetarea stelelor colectate, trebuie să faceți cel puțin o achiziție în decurs de 12 luni consecutive. În caz contrar, puteți pierde toate stelele acumulate. Nivel verde face posibilă schimbarea a 12 stele pentru o băutură de cafea sau un fel de mâncare.

Nivel de aur acordate sub rezerva acumulării a 30 sau mai multe stele pe parcursul anului. Privilegiu:

• Comandă gratuită bonus a oricărui produs din gama de băuturi sau alimente în schimbul a 12 stele acumulate;
• Promoție de felicitare pentru ziua de naștere - posibilitatea de a primi gratuit cafea sau un fel de mâncare în cinstea sărbătorii;
• Design card de aur;
• Promoții exclusive care pot fi adaptate preferințelor personale atunci când alegeți produse sau metode de plată. De asemenea, puteți obține o reducere la mâncare sau băuturi.

Crearea unui cont personal vă permite să efectuați manipulări utile cu cardul. Acestea includ: activarea, verificarea soldului și recompenselor, reîncărcare automată unică sau periodică, vizualizarea istoricului tranzacțiilor.

Pentru a înregistra un cont, accesați site-ul web www.starbuckscard.ruși selectați fila „Înregistrare”.

Apoi introduceți numărul dvs. de telefon și faceți clic pe butonul „Obțineți codul”.

În fereastra care se deschide, introduceți codul primit.

În continuare, câmpurile vor deveni disponibile pentru indicarea numărului și a codului PIN (se află pe partea din spate a suportului de plastic sub panoul răzuit lângă numărul de 12 cifre) a cardului primit în cafenea și a datelor personale. De asemenea, puteți confirma primirea de știri și promoții prin e-mail.

Aplicația mobilă „Starbucks Rusia”

Pentru confortul clienților, Starbucks a dezvoltat și introdus un program pentru AndroidȘi iOS. Funcționalitatea aplicației vă permite să activați un card existent și să scanați codul de bare sau să creați o versiune complet electronică, să aflați despre noi promoții și oferte și să găsiți cele mai apropiate cafenele. În „Starbucks Rusia” poți vizualiza detaliile contului tău personal.

Puteți să vă încărcați cardul și să plătiți comanda online.

Aplicația vă va anunța și despre disponibilitatea recompenselor.

A avea un card Starbucks este un adevărat premiu pentru un cunoscător de cafea. Un semn distinctiv care face și viața mai bună. Compania Starbucks și-a creat moneda internă Stele, primind și acumulând participanții la program care le pot schimba cu bonusuri în cafenelele Starbucks.

Pentru a deveni parte a Programului Bonus, trebuie doar să accesați site-ul oficial starbuckscard.ru și să înregistrați un card. Acolo veți găsi și o listă a unităților care participă la promoție.

Puteți primi un card în formă fizică la orice cafenea din lanț, alegând în mod independent designul care vă place și completând imediat soldul cu o sumă de la 500 la 10.000 de ruble pentru a face achiziții ulterioare. De asemenea, puteți cumpăra un card Starbucks Gifts online de pe site-ul http://starbuckscoffee.ru/ru/.

Cum să înregistrezi un card Starbucks?

Înregistrarea unui card Starbucks îl transformă dintr-un simplu mijloc convenabil de plată într-un generator de cadouri și bonusuri.

Pentru a le accesa puteți folosi una dintre următoarele metode:

Pasul 1. Accesați site-ul http://starbuckscoffee.ru/ru/

Pasul 2. Creați un cont personal urmând instrucțiuni detaliate

Pasul 3.Înregistrați un card Starbucks sau StarbucksGifts pe site.

1. Descărcați aplicația mobilă Starbucks.
2. Creați un cont.
3. Înregistrați-vă cardul Starbucks sau cardul StarbucksGifts în aplicație.

Nivelurile cardului Starbucks

Numărul de cadouri și bonusuri de la Starbucks depinde în totalitate de activitatea Participantului la program și de dragostea lui pentru băuturile cu cafea. După fiecare achiziție efectuată, cardului i se atribuie o stea.

Cu cât sunt mai multe Stele, cu atât starea cardului este mai mare.

Nivel verde

Nivelul verde al cardului este atribuit membrului imediat după achiziționarea cardului și pentru menținerea acestuia este necesar să se efectueze cel puțin o achiziție în decurs de un an de la înregistrarea cardului pe starbuckscoffeeru. Dacă în acest timp soldul cardului nu a fost completat cu stele, privilegiile Green Level sunt înghețate.

Nivel de aur

Puteți trece la nivelul Aur de la nivelul Verde după ce ați primit 30 de stele într-un an.

Caracteristicile cardului Starbucks

Soldul cardului este protejat în mod fiabil de furt și poate fi restabilit în caz de pierdere. Un astfel de card poate fi un cadou excelent cu un design recunoscut „Inimi de hârtie” sau „Vara”.

De asemenea, înregistrarea unui card Starbucks înseamnă să ai acces la toate tranzacțiile, să-ți verifici soldul direct de pe dispozitivul tău mobil, să urmărești activitatea bonusului și privilegiile.

Privilegii de nivel verde

Privilegii de nivel Aur

1. Posibilitatea de a primi orice băutură sau un fel de mâncare pentru fiecare nouă 12 stele, cu excepția prăjiturii întregi.
2. Orice băutură sau fel de mâncare, excluzând prăjiturile întregi, ca cadou de ziua ta.
3. Design actualizat în culoare aurie.
4. Participarea la oferte speciale care sunt distribuite prin SMS sau newsletter prin e-mail.

Cum se utilizează aplicația mobilă Starbucks?

Aplicația mobilă Starbucks este compatibilă cu toate dispozitivele. Datorită acesteia, puteți vizualiza cele mai apropiate cafenele, puteți efectua tranzacții cu soldul și reîncărcarea automată, puteți efectua tranzacții între carduri și puteți fi la curent cu promoțiile și ofertele speciale.

Programul de bonus Starbucks își apropie și mai mult clienții de cafea, permițându-le să călătorească profitabil prin sortimentul de boabe de cafea, nu doar cu beneficii pentru trup și suflet, ci și cu o reaprovizionare rezonabilă și economii de buget.