BHTelecom prevara u nagradnoj igri "Smartphone 4 Smartpeople"

Sacir_Satko · May 1, 2019, 1:07pm

Pozz forumasi,

Pocetkom mjeseca aprila 2019te godine, BH Teleom je organizovao nagradnu igru “Smarphone 4 Smartpeople”, gdje se treba odgovoriti na 5 pitanja dnevno svaki dan do 30. 04. 2019 i dobija se odredeni broj poena za svako pitanje.
Link: https://www.bhtelecom.ba/vijest+M50e1c0f56af.html

Tako da top 3 osvaja mobilne uredaje:
Huawei Mate Pro 20
Huawei P 20 lite
Huawei Mate 20 lite

Medjutim u igri je bilo niz bugova od dobijanja odgovora unaprijed do igranja za drugog bez potrebnog emaila i šifre.

Takodjer sam snimio video u kojem pokazujem kako da “uhvatite odgovore” i lagano poslije odgovorite svih 5pitanja za 5sekundi i dobijete 500-600poena.

VIDEO: https://streamable.com/osbr9

Textualno objasnjenje:

Prvo upalimo “Packet Capture” ili “Wireshark” zatim odredimo za koju aplikaciju želimo da izvedemo MITM napad.
Pokrenemo aplikaciju “Smartphone 4 Smartpeople” te hvatamo sve HTTP Requeste koje radi aplikacija.
Kada se logujemo na akaunt i startujemo kviz, jednostavno minimizujemo aplikaciju te udjemo u “Packet Capture” gdje vidimo HTTP Request u kojem su nam odgovori.
Kada vidimo odgovore ponovno udjemo u aplikaciju “Smartphone 4 Smartpeople” i jednostavno odgovorimo.

Sacir_Satko · May 1, 2019, 1:08pm

Android app: https://play.google.com/store/apps/details?id=com.fotoart.wuhu

Link FB Posta: https://www.facebook.com/bhtelecom/photos/a.467260946624422/2725918550758639/

jorgovan · May 1, 2019, 2:39pm

Nije prijevara, nego “a je to majstori” radili app.

Sacir_Satko · May 1, 2019, 2:45pm

Vjeruj prevara je teška.

Prije su se mogli vidjeti ID od usera kojih su u top 100. Poslije promijene ID od te njihove trojice i stave da se ne vidi ID.

Api::
http://huawei.fotoart.ba/rang.php

Za posljednji game: http://huawei.fotoart.ba/lastgame.php?userid=4080
HAHA developeri su amateri vidi se IP korisnika hahaha.

Sacir_Satko · May 1, 2019, 2:51pm

Takodjer sam i slao mailove BHTelecomu i FotoArtu(firma koja je radila aplikaciju)
I nisam dobio odgovore od njih ocito je to otpocetka zamisljeno da se njihovi budu u top 3.

jorgovan · May 1, 2019, 2:53pm

Ne vidi se slika…

Sacir_Satko · May 1, 2019, 3:11pm

APP je radjen u react-native. Za dekompajlovanje je potrebno samo promjeniti extenziju iz .apk u .zip i dobijete source kod app.
APP je moguce ponovno kompajlat preko APK Tool.

Kod: https://privatebin.net/?63aefab3c03e0d9f#svfJF7LhnByM9BRmRLRu+h0nAsf+Y+dDyLN/bUHk47g=

Q_Line · May 1, 2019, 3:41pm

Nisam bas ekspert u aplikacije, ali skines app, prepravis kode, kompajliras je opet i izvrsavas kod sa svoijim promjenama?

jorgovan · May 1, 2019, 3:54pm

Koja korist, ako se sve radi preko api-a , naravno app kod koje je sve slozeno kako treba. Kod ove se ocito moze manipulirati sa podacima na klijentu.

Sacir_Satko · May 1, 2019, 4:00pm

To sam i uradio, stavio sam sebi da mi blikuje tacan odgovor uvijek.
Problem im je sto se na clientside provjerava jel odgovor tacan sto bi trebalo da je serverside.

gist.github.com

https://gist.github.com/PuKoren/d0ec0c98350c0e92f467

recompile-and-run.sh

# You must first install apktool (https://github.com/iBotPeaches/Apktool) and android SDK
# and decompile apk using it 
# apktool d -rf my-app.apk

# then generate a key for sign in:
# keytool -genkey -v -keystore my-release-key.keystore -alias alias_name -keyalg RSA -keysize 2048 -validity 10000
rm signed-app.apk
apktool b -f -d com.myapp
jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore my-release-key.keystore com.myapp/dist/com.myapp.apk alias_name
zipalign -v 4 com.myapp/dist/com.myapp.apk signed-app.apk

This file has been truncated. show original

ruin · May 1, 2019, 4:56pm

znači koliko sam shvatio, postoje dvije opcije

ili je neki zaista amater ovo radio a neko je uzeo pare na tenderu

ili su ovo namjerno uradili da bi neki od njih uzeli telefon

ili sam glup ili?

belmin · May 1, 2019, 5:15pm

Kako kaze ona stara: Slika govori 1000 rijeci

Neko se tu jako dobro ugradio

ruin · May 1, 2019, 5:27pm

čuo sam i ja za fotoart, dugo su u poslu, zato me i čudi ova situacija … aljazeera ne posluje sa svakim

Sacir_Satko · May 1, 2019, 5:48pm

Na google playu stoji da je developer: mirza@fotoart.ba
pa sam istrazio i saznao sam da je to Mirza Imamovic. Prema zoominfo to je Mirza Imamovic.

https://www.linkedin.com/in/mirza-imamović-2b3b9912b/

Q_Line · May 1, 2019, 10:08pm

Od kada znam za internet (a to je jaaaaaaako dugo), znam i za vezu FotoArta s BH Telecomom