WisdomEye

UPI Bypass Explained 😱 | How Hackers Trick Payment Systems

Summary

यह वीडियो यूपीआई बायपास (UPI Bypass) नामक एक गंभीर सुरक्षा खामी के बारे में है, जिसमें हमलावर बिना भुगतान किए ऑनलाइन सेवाओं का लाभ उठाते हैं। वीडियो के माध्यम से यह समझाया गया है कि जब ऑनलाइन पेमेंट गेटवे प्रॉपर्ली कॉन्फ़िगर नहीं होते हैं और सर्वर ट्रांजेक्शन आईडी, स्टेटस और सिग्नेचर का सही सत्यापन नहीं करता, तो कैसे बप सूट (Burp Suite) जैसे टूल का उपयोग करके पेमेंट राशि को बदला जा सकता है। इसका मुख्य उद्देश्य डेवलपर्स और व्यवसायों को सुरक्षा के महत्व के प्रति जागरूक करना है।

#Cybersecurity #Programming & Software

Key Insights

यूपीआई बायपास का मूल कारण सर्वर-साइड वेरिफिकेशन की कमी है।

यूपीआई बायपास तब संभव होता है जब सिस्टम का पेमेंट गेटवे पेमेंट वेरिफिकेशन को तीन महत्वपूर्ण चरणों में वैलिडेट नहीं करता है: ट्रांजेक्शन आईडी, पेमेंट स्टेटस और सिग्नेचर वेरिफिकेशन। यदि इनमें से कोई भी स्टेप मिस हो जाता है, तो सर्वर को यह विश्वास दिलाया जा सकता है कि भुगतान हो गया है, जबकि वास्तविकता में ऐसा नहीं होता।

बप सूट का उपयोग ट्रांजेक्शन डेटा को इंटरसेप्ट और मॉडिफाई करने के लिए किया जा सकता है।

वीडियो में दिखाया गया है कि बप सूट प्रॉक्सी का उपयोग करके क्लाइंट और सर्वर के बीच जाने वाली रिक्वेस्ट को रोका जा सकता है। हमलावर राशि (Price) जैसे संवेदनशील पैरामीटर्स को खोजकर उन्हें बदल सकता है (उदाहरण के लिए 549 रुपये को 1 रुपये में बदलना), जिससे पेमेंट गेटवे को गलत जानकारी मिलती है।

Sections

प्रस्तावना और सुरक्षा डिस्क्लेमर

वीडियो केवल शैक्षिक उद्देश्यों के लिए है और अवैध गतिविधियों का समर्थन नहीं करता।

वीडियो की शुरुआत एक स्पष्ट डिस्क्लेमर के साथ होती है जो बताता है कि सभी प्रदर्शन एक सुरक्षित लैब वातावरण में किए गए हैं। इसका उद्देश्य केवल शिक्षा देना है और यह वास्तविक दुनिया के दुरुपयोग या दुर्भावनापूर्ण इरादे से संबंधित नहीं है।

यूपीआई बायपास क्या है और यह क्यों खतरनाक है?

यूपीआई बायपास का अर्थ है सिस्टम को यह विश्वास दिलाना कि भुगतान हो गया है। अगर सर्वर पेमेंट को सही ढंग से वैलिडेट नहीं करता है, तो एक हमलावर फेक रिक्वेस्ट भेजकर सिस्टम को भ्रमित कर सकता है, जिससे वित्तीय नुकसान हो सकता है।

बप सूट सेटअप और ब्राउज़र कॉन्फ़िगरेशन

बप सूट प्रो का उपयोग करके लैब वातावरण तैयार करना।

वीडियो में बप सूट प्रोफेशनल (Burp Suite Professional) को डेस्कटॉप डायरेक्टरी से शुरू करने की प्रक्रिया दिखाई गई है। इसमें एक टेंपरेरी प्रोजेक्ट शुरू किया जाता है और इसके डिफॉल्ट डैशबोर्ड का उपयोग किया जाता है।

बप सूट के अंतर्निहित ब्राउज़र को खोलना और प्रॉक्सी सेट करना।

बप सूट के प्रॉक्सी टैब में जाकर 'Open Browser' विकल्प का उपयोग किया जाता है। यह ब्राउज़र बप सूट के साथ सिंक होता है, जिससे वेबसाइट की हर रिक्वेस्ट और रिस्पांस को इंटरसेप्ट किया जा सकता है।

अटैक का प्रैक्टिकल प्रदर्शन

टारगेट वेबसाइट पर पैकेज चुनना और डिटेल्स भरना।

एक ऑनलाइन सर्विस वेबसाइट पर जाकर 'Advanced Package' (कीमत 549 INR) को चुना जाता है। यहाँ यूजर डिटेल्स भरने और अकाउंट बनाने की प्रक्रिया का पालन किया जाता है।

पेमेंट रिक्वेस्ट को इंटरसेप्ट करना।

पेमेंट बटन पर क्लिक करने से पहले बप सूट में 'Interception is ON' किया जाता है। जैसे ही यूजर भुगतान के लिए क्लिक करता है, रिक्वेस्ट बप सूट में रुक जाती है।

कीमत (Price) को खोजना और संशोधित करना।

इंटरसेप्ट की गई रिक्वेस्ट और रिस्पांस में '549' कीवर्ड को खोजा जाता है। वीडियो में 7 जगह पर यह संख्या मिलती है। हमलावर इन सभी स्थानों पर 549 को बदलकर '1' कर देता है, ताकि भुगतान की रकम कम हो जाए।

संशोधित डेटा को फॉरवर्ड करना और परिणाम देखना।

सभी संपादन करने के बाद 'Forward' बटन दबाया जाता है। ब्राउज़र पर वापस जाने पर यह दिखता है कि सिस्टम अब केवल 1 रुपया भुगतान करने के लिए कह रहा है, जो बायपास की सफलता को दर्शाता है।

निष्कर्ष और सुझाव

डेवलपर्स के लिए सुरक्षा का महत्व और जागरूकता।

वीडियो का समापन इस संदेश के साथ होता है कि सुरक्षा कितनी महत्वपूर्ण है। यह डेवलपर्स और व्यवसायों को सचेत करता है कि उन्हें अपने पेमेंट गेटवे को सुरक्षित रूप से कॉन्फ़िगर करना चाहिए ताकि ऐसे लूपहोल्स का फायदा न उठाया जा सके।

Ask a Question

*Uses 1 Wisdom coin from your coin balance

Watch Video

Open in YouTube

Got a minute?