Xakep #305. Многошаговые SQL-инъекции
Интересную историю поведали миру журналисты Associated Press. Недавно группа из 364 заключенных в штате Айдахо обнаружила некий баг в планшетах компании JPay. Заключенные сумели эксплуатировать уязвимость и набрали кредитов в системе JPay на 225 000 долларов США.
Компания JPay, основанная в 2002 году, сотрудничает с американским Департаментом исправительных учреждений и множеством тюрем, обеспечивая заключенных различными технологическими сервисами, начиная от возможности пользоваться денежными переводами или электронными письмами и заканчивая видеосвиданиями, играми, музыкой, помощью в обучении и так далее.
JPay не только устанавливает в пенитенциарных учреждениях специальные киоски, как на фотографии выше, но также предлагает заключенным специальные планшеты. Они могут синхронизироваться с киосками, а иногда даже работать с Wi-Fi, все зависит от модели устройства, правил штата и тюрьмы. Такие гаджеты вовсе не обязательно оплачиваются из карманов налогоплательщиков: их заключенным могут приобретать родственники, а порой компания вообще предоставляет устройства бесплатно (ранее в этом году бесплатные планшеты получили 53 000 заключенных в тюрьмах штата Нью-Йорк).
Деньги JPay зарабатывает взимая со счетов заключенных плату за отправку электронных писем, загрузку медиаконтента (музыки. электронных книг, обучающих материалов и так далее). Для этого используются специальные медиа-аккаунты или JPay Credits, и простая по своей сути кредитная система.
Associated Press цитирует представителя Департамента исправительных учреждений штата Айдахо Джеффа Рэя (Jeff Ray) и сообщает, что недавно местные заключенные нашли способ произвольно увеличить размер своего баланса JPay и кредитовали сами себя на огромные суммы.
В чем именно заключалась уязвимость, к сожалению, не сообщается, и, судя по всему, информация о баге распространилась по нескольким исправительным учреждением обычным «сарафанным радио». По информации журналистов, большинство заключенных выдали себе кредиты в размере 1000 долларов, а самая крупная сумма составила около 10 000 долларов. В общей сложности 364 заключенных кредитовали самих себя на 225 000 долларов.
Представители JPay подчеркивают, что речь идет не о сбое или ошибке, а об умышленной эксплуатации некой бреши, что требовало понимания принципов работы системы JPay и целого ряда манипуляций. Компания еще не завершила расследование случившегося, но уже вернула порядка 65 000 долларов. Пока проштрафившимся заключенным запретили скачивать игры и музыку, оплачивая контент со своих кредитных счетов, однако обмениваться электронными письмами они по-прежнему могут.
