如何黑掉礼品卡

2015年11月，威尔·卡布特在一家安全公司工作，签下了墨西哥一家大型连锁餐厅的渗透测试任务，要找出其网站上的可利用漏洞。

到达其中一家餐厅后，卡布特注意到收银台旁放着一堆未激活的礼品卡。在他一张一张翻阅礼品卡时，他发现了一个模式：虽然卡片最后4位数字看起来好像是各不相同的随机数，但除了有1位数字是依次递增的外，其他数字均保持一致，就好像理好的扑克牌。吃完玉米煎饼，欺诈这一系统的计划也在他脑海中成型了。

礼品欺诈

经过几年的零售礼品卡行业研究，卡布特打算在本周末举行的Toorcon黑客大会上公布他的发现。这些发现是可以帮助黑客确定礼品卡号并从中牟利的超简单技巧，这甚至会发生在卡片合法持有者还没来得及使用之前。尽管其中有些方法已经半公开了几年，某些零售商也已经补上了安全漏洞，但还有一部分目标依然对礼品卡黑客方法敞开大门。正如对最近刚被取缔的暗网市场AlphaBay的分析所呈现的，现实中的犯罪分子也已大量采用这些骗术。

卡布特目前在 Evolve Security 当研究员，他说：“你基本上是通过这些礼品卡在偷取别人的钱。你可以从餐馆、商场、影院、航空公司等拿走礼品卡样本，然后找出其中模式，确定出卖给客户的其他礼品卡，然后盗取其中价值。”

要实施此类诈骗，必须获得至少一张目标公司的礼品卡。未激活礼品卡通常在餐厅和零售商处任取，要不然买一张也行。虽然不是所有卡片，都像上文所述墨西哥餐厅的礼品卡一样依次递增1。但获取2-3张卡片，有助于确定除此之外的模式。然后，就可以访问商场或餐厅用来查验卡片价值的网站了。此处，卡布特会运行暴力破解软件Burp Intruder，循环反复尝试卡号后4位随机数的数值。该过程大约持续10分钟。通过重复该过程，再加上其他可预测的数值，网站将确认卡片各自含有的价值。“只要找到一张礼品卡或优惠券，你就能暴力破解该网站。”

一旦窃贼确定了被激活的有价值卡号，就能在零售商的电子商务页面消费这些卡，甚至亲身现场使用。卡布特用亚马逊上卖的价值120美元的磁条写入设备，将卡号写入了空白塑料卡上，然后发现大多数零售商都毫不迟疑地接受了他的卡。卡布特仅仅让商场或餐厅查了下卡片余额，并没有真正消费属于受害者的卡片。

这就是个匿名攻击。我可以直接走进餐厅，点餐消费，然后堂而皇之地回家。那张卡上有50美元的余额，然后，砰，消失了。

平衡法则

自2年前发现该礼品卡欺诈以来，卡布特一直在警告零售商和餐厅注意这种骗术。潜在目标——包括美国乔氏连锁超市、梅西百货和塔可钟快餐。他们要么撤下礼品卡价值查询网页并要求用户通过电话查询，要么在查询网页上添加验证码，防止自动化程序暴力破解礼品卡号。

但其他餐厅、零售商店和公司(卡布特并未透露具体商号)，不是未能实现针对此类欺诈的安全措施，就是添加的防御措施可以被绕过。他发现，很多礼品卡承办商在查询网页上使用的验证码，他都可以通过使用 Burp Proxy 工具禁用该页面的JavaScript元素，轻易剥去。这就让他可以像2015时那样，用同样的暴力破解攻击，找出被激活礼品卡卡号加以利用。他测试过的其他小型零售商和地区性连锁店，则根本没有加上验证码，或者用的是压根不用暴力破解就能猜出的递增式卡号。

除了卡号，有些零售商的卡片还增加了PIN码。但仅在查询卡片余额的时候才要求输入PIN码，消费时不用。而且，如果黑客真心想要确定这些PIN码保护卡片的价值，同样可以用Burp Intruder暴力破解之，跟破解卡号本身一样简单。

卡布特指出，甚至加上了健壮验证码的餐厅和零售商，也依然脆弱。只要礼品卡放店里任取，他就可以整堆全拿走，拍下卡背面，再放回去。然后，通过餐馆或零售商的网站定期查询这些卡号。只要发现有卡片被激活，里面充的钱就可以随便花了。

卡布特找到的漏洞并非纯理论上的。今年5月，安全公司Flashpoint发布了一份报告，称在犯罪论坛发现数百关于“被破解”礼品卡的讨论，讨论高峰期在2016年夏天，然后2017年初又激增了一次，而2016年之前则一个此类讨论都没有。Flashpoint分析师里夫·罗利称，2016年11月到今年7月AlphaBay被FBI取缔的8个月间，仅AlphaBay一家，就通过售卖十几个品牌的被盗礼品卡，达到了40多万美元的销售额，受害商家包括OfficeMax和全食超市之类的卖场。Flashpoint向受影响零售商之一了解情况时，该公司研究人员确定，卖家确实使用了自动化工具暴力破解被激活的礼品卡，就像卡布特展示的那样。“很多礼品卡是顺序编号的，卖家看来就是那么查验的。”

卡布特点出的所有礼品卡安全问题，都有相对简单的修复措施：在礼品卡价值查询网站上实现坏人绕不过的强验证码，不要在收银台留下可以随意拿走的未激活礼品卡，在卡片上使用可刮涂层防偷拍替换。

但在零售商和餐厅做出修复之前，消费者最好在购买礼品卡前三思，毕竟自己的钱很有可能被黑客吸走。在从零售柜台拿走未受保护的卡片前，或许可以考虑一下都有谁可能已经先拿走过一次了——还有谁可能知道这张塑料卡片的秘密。

本文转自d1net（转载）