Hello there, ('ω')ノ
PINコード保護をバイパスできた方法を。
脆弱性：
承認の欠陥
記事：
https://xko2x.medium.com/how-i-was-able-to-bypass-a-pin-code-protection-8352295bb4fb
ターゲットに関する情報：
仮想カードと物理カードを提供する金融会社で。
いくつかの調整とターゲットの理解を経て、仮想カードと物理カードを。
作成する機能を見つけて。
仮想カードを作成すると、他の手順なしでカードの詳細を。
読み取ることができることがわかって。
物理的なカードが異なると、カードの後ろにピンコードが必要になるので。
カードを配達せずにこれを行うことはできず。
それでは、PINコードリクエストを見ることに。
応答は下記のとおりで。
基本的にレート制限があるので、ブルートフォースはできず。
なので、javascriptを分析していると。
カードUUIDのみでカードをアクティブ化するエンドポイントが見つかって。
下記は、オリジナルのもので。
２つの違いはtruncated_pan（ピンコード）で。
なので、このエンドポイントを試すことに。
下記がリクエストで。
下記は、応答で。
そしてうまくいって。
このリクエストが何のためにあるのかは。
調査の結果、ユーザが手動で仮想カードを無効にした場合に。
仮想カードをアクティブ化するためにこれを見つけて。
要約：
基本的には、カードのuuidを交換して、物理カードで。
仮想カードアクティブ化要求を使用してPINコード保護をバイパスして。
ペネトレーションテストのヒント：
常にjsファイルを読んで分析して。
そしてリクエストを見つけて読むことができるすべてのボタン／機能をクリックして。
これで何ができるかを考えて。
Best regards, (^^ゞ
