Domanda Scammare uno scammer con Python

[ScamHunter]

Ho visto questo video su youtube:


Vedi: https://www.youtube.com/watch?v=StmNWzHbQJU


Fa vedere come fargliela pagare ai noti scammer che inviano mail spam a tutto il mondo cercando di truffarti.
L'autore del video ha creato questo script in python per mandare richieste alla pagina di pagamento degli scammer, che ovviamente darà risposta negativa perchè i dati della carta che ha immesso sono fittizi. Però a ogni richiesta rifiutata dal gateway di pagamento, quest'ultimo addebita allo scammer una cifra come 2-5 centesimi. Tramite il threading del python lui riesce a inviare centinaia di richieste al minuto così da costringere lo scammer a chiudere il sito perchè indebitato.

import requests
import threading

url = 'https://eu-prod.oppwa.com/v1/internalRequestIframe.html'

data = {
'form_name' : 'marco',
'form_surname' : '*******',
'form_mail' : '[email protected]',
'form_addr' : 'via cento 34',
'form_tel' : '3519534884',
'form_city' : 'guardamilano',
'form_state' : 'ti',
'cc_num' : '5126757144928481',
'cc_excpm' : '08',
'cc_expy' : '25',
'cc_ccv' : '551',
}

def esegui():
    while True:
        response = requests.post(url, data=data).text
        print(response)
       
threads = []
       
for i in range (100):
    thread = threading.Thread(target = esegui)
    thread.daemon = True
    threads.append(thread)
for i in range(100):
    threads[i].start()
   
for i in range (100):
    threads[i].join()

Ho aperto questo post perchè capitano alcuni siti spammer che utilizzano un request url diverso da quello che fa vedere nel video e quindi lo script non funziona. Il codice che vi ho incollato ha un url di uno scammer che finisce in .html e infatti lo script non riesce a inviare le richieste.

Come posso risolvere? come posso grabbare il l'url della richiesta corretto?

 

[JunkCoder]

Ho aperto il video a caso a 2 minuti e spiega chiaramente come funziona questo "attacco". Il fatto che il link finisca in html non c'entra nulla, l'importante è che il sito di scam verifica subito la validità della carta con un vero provider di pagamento, nel caso dello youtuber ha fatto il video proprio perché gli scammer che ha trovato facevano così, ma la maggior parte dei siti di scam non verificano subito la validità, le salvano tutte in un database per provarle in seguito manualmente o rivenderle nel deep web in un blocco unico a pochi euro. In questi casi il tuo attacco non ha alcun effetto economico né di "fastidio" perché anche se fai 100k richieste sono tutte con gli stessi numeri e nomi per cui lo scammer può ripulire il database con un comando in un secondo mentre tu ci perdi ore per niente, sempre che non ci fosse un check di duplicati o con l'algoritmo di Luhn, in quel caso nemmeno si accorgerebbe del tuo attacco.

 

[ScamHunter]

Vedi l'intero video e ti rendi conto che il gateway manda una risposta in seguito al check

 

[JunkCoder]

Vedi l'intero video e ti rendi conto che il gateway manda una risposta in seguito al check

Si certo, e cosa c'entra con quello che ho risposto io?

Se hai già verificato che il tuo sito scam usa oppwa come provider devi cercare di emulare la richiesta del browser in tutti gli header della richiesta oltre che URL e corpo. Ti consiglio di fare un tentativo a mano con la network tab del browser aperta e postare qui lo screenshot della richiesta così ti sappiamo dire se manca qualcosa o c'è un errore.

PS: secondo le docs di oppwa ci vuole un token nella richiesta (header Authorization), mi sembra strano che tu riesca a vedere la richiesta a eu-prod.oppwa.com dal browser, in teoria dovrebbe essere il backend del sito scam a fare la richiesta, come succede nel video youtube e in tal caso l'URL deve essere diverso da quello che stai usando, quindi ti invito di nuovo a mettere gli screen di richiesta e header o direttamente il sito scam (ma se fai così senza https:// e usando il tag code per evitare di linkarlo).

 

[mrcamarium]

quel video l'ho visto anche io è stato remakato anche da uno youtuber italiano, confermo quello che ha detto

JunkCoder, per aver successo dovresti inviare diversi codici di carta di credito cosi da far perdere tempo al hacker, viceversa, se la carta è sempre la stessa con python non ci vuole nulla per cancellare i duplicati.​

 

[JunkCoder]

quel video l'ho visto anche io è stato remakato anche da uno youtuber italiano, confermo quello che ha detto

JunkCoder, per aver successo dovresti inviare diversi codici di carta di credito cosi da far perdere tempo al hacker, viceversa, se la carta è sempre la stessa con python non ci vuole nulla per cancellare i duplicati.​

è quello che ho detto io, ma non basta che siano diversi "16 numeri random", devono essere validi, altrimenti come per i duplicati basta un attimo per filtrarli con l'algoritmo di Luhn. Comunque prima di perderci tempo è meglio che verifica che la carta viene testata in tempo reale come succede nel video, se invece la salva e basta non vale la pena generarli per bene per ostacolarlo perché non paga nulla e non sai quali altri check può fare (tipo IP-based o time-based) per filtrare le carte da rivendere. Se poi vuoi fare questa la missione della tua vita allora puoi anche implementarlo con i proxy che ruotano ma mi sembra un po' una battaglia persa.

 

[mrcamarium]

è quello che ho detto io, ma non basta che siano diversi "16 numeri random", devono essere validi, altrimenti come per i duplicati basta un attimo per filtrarli con l'algoritmo di Luhn. Comunque prima di perderci tempo è meglio che verifica che la carta viene testata in tempo reale come succede nel video, se invece la salva e basta non vale la pena generarli per bene per ostacolarlo perché non paga nulla e non sai quali altri check può fare (tipo IP-based o time-based) per filtrare le carte da rivendere. Se poi vuoi fare questa la missione della tua vita allora puoi anche implementarlo con i proxy che ruotano ma mi sembra un po' una battaglia persa.

per me fa prima a segnalare il link alla polizia postale

 

[Psychonaut]

La cosa più bella è che se cercate il numero di telefono nel codice postato da @ScamHunter su google immagini escono solo annunci di escort

Furbacchione dove l'hai preso quel numero? è quello di "Calda Napoletana" vero ?

 

[mrcamarium]

Bella questa