Рейтинг: 4.9/5.0 (1857 проголосовавших)Категория: Windows: Транспорт
У меня я сейчас времени нет совсем, да и разбираться во многом надо, т.к. далёк от этой темы, но может кто-то спарсит базу всех контор и таксистов с контактами да выложит тут? Просто так, что-б было.
Все вокруг постоянно рассуждают о коррупции. А я хочу рассказать Вам о случае, на коррупцию очень похожем, но в среде чистого IT-бизнеса, на государство никак не завязанного.
Описываемый далее случай интересен именно с точки зрения взлома бизнеса, хотя статья больше посвящена взлому в смысле IT.
Начну с нетехнической части.
Мой друг-одноклассник работает в сфере бизнеса московского такси. Работает в этом бизнесе довольно много лет. Несколько лет назад, когда на рынок московского такси вошел крупный игрок (а теперь — монополист) — Яндекс, то мой друг, разумеется (как и все прочие мелкие и крупные игроки этого бизнеса) также присоединился к заказам Яндекс-Такси.
Уже несколько лет он работает в Яндекс.Такси с использованием ПО ООО РОСИНФОТЕХ .
Где-то с полгода назад Яндекс приобрел эту компанию и теперь это ПО называется Яндекс.Таксометр или вроде того.
Что представляет собой это ПО: это комплект по управлению водителями (можно добавить/удалить машину/водителя), а так же принять/отменить проследить заказ.
Так вот, обещал я, что начну с нетехнической части. Этот мой друг уже несколько лет жалуется мне при личных встречах на извечную русскую проблему: «воруют».
Рассказывает что воруют водителей, заказы и даже, по слухам, деньги с QIWI-кошельков…
Я относился к этому как-то философски. Ну, жалуется человек на жизнь. Ушел водитель (увели) от него в другую компанию, а он считает что его украли — обычная история. Но на этих выходных таки он меня упросил: «Иван, ну да, ты (как ты говоришь) не специалист по безопасности, но посмотри, как могут у меня воровать водителей? Ты же IT-шник, в конце концов!».
Мы сели с ним в кафешке с WiFi и стали смотреть.
Закончу нетехническую вводную я тем, что скажу что, по слухам, среди компаний, работающих с Яндекс-Такси, которые идут в том числе и от самого Росинфотех, Яндекс приобрел вышеуказанное ПО за миллиард.
Запомните эту цифру, она понадобится нам в конце статьи .
Итак, вступление окончилось, перейдем к технической части.
Дал он мне логин/пароль от его личного кабинета в диспетчерской, и я туда зашел.
Там все несложно: список водителей: добавить/удалить/заблокировать/распечатать. Отчеты, заказы и т.п. Полазив чуток по страничкам, обратил внимание, что практически весь сайт построен на том, что в ссылках или запросах фигурируют UUID .
Кликнув на водителя, можно увидеть, что UUID водителя фигурирует в ссылке информации о нем.
Далее стало интересно выяснить три вопроса:
Походив по страничкам личного кабинета, я обратил внимание, что UUID присвоен и компаниям тоже.
«Ага!»- подумал я и стал спрашивать моего друга, знает ли он, что такое UUID, и применял ли где-нибудь его. Он говорит: «Да, в личном кабинете Яндекса я указывал урл на API». «Давай сюда, — говорю, — этот урл». Дает он мне нечто вроде такого sync.yandex.taxi.itrf.ru/drivers/<UUID>. Заглядываем в этот урл и видим — все водители компании моего друга в удобном для парсинга виде — XML. Без авторизации .
Осталось узнать UUID других компаний. Как это сделать? Как я уже сказал выше, в некоторых местах сайта банальный Ctrl-U в браузере показывает UUID других компаний, однако мне стало интересно получить UUID адреса ВСЕХ компаний, использующих это ПО. Мы где-то с полчасика покопались по урлам, используя Ctrl-U, и нашли сразу множество путей, как это сделать.
Например, вот такой красивый JSON сообщает нам подобный список:
Обратите внимание, что список затрагивает сразу все регионы страны. не только Москву.
Ну или подобные списки встречаются в различных селектах, списках итп. Таких мест множество. Однако, продолжим далее.
Стало интересно вернуться к карточкам водителей и рассмотреть их поближе. Для этого мы выбрали одну из Московских компаний — взяли XML со всеми ее водителями (которая, как описано выше, доступна без авторизации) и продолжили эксперименты над ней.
Взяли пару водителей из этого XML, ввели их UUID в карточке в личном кабинете. Посмотрели карточку водителя. Рейтинги, когда сдавал экзамены такси, номера прав итп — все видно. Информация о любом водителе (в том числе чужих) доступна по урлу с UUID .
Это как бы расширенная информация (больше, чем вышеприведенном XML).
Вероятно, разработчики этого ПО о понятиях «авторизация», «аутентификация» не слышали, а уж и тем паче о разнице между ними.
Там же, сидя в кафе я набросал скриптик на Python, и через 20 минут у нас была база данных всех водителей Яндекс.Такси во всех городах (не только в Москве) с их телефонами, рейтингами, номерами прав, лицензий, балансами счета и прочей приватной информацией.
Получили вот примерно такой XLS файлик:
Так я получил вещественное доказательство более чем двухлетним подозрениям моего друга о воровстве водителей.
Дальше стало интересно посмотреть несколько шире на эту проблему: доступность этих UUID без авторизации вообще. Оказалось, и это есть!
Это ПО предлагает довольно широкий спектр сопутствующих услуг. Например, вебформу заказа такси на сайте компании-клиента.
Заглянув (Ctrl-U) на несколько сайтов-партнеров Яндекс-такси, как Вы думаете, что я там обнаружил? Правильно! UUID этих компаний, по которым (напомню) можно бесплатно доставать всех водителей.
Таким образом, не исключаю, что какой-либо поисковик (в т.ч. Яндекса) однажды проиндексирует все эти приватные данные компаний и людей.
Затем мы заглянули на еще один ресурс без авторизации этой компании. В публичном доступе находится в реальном времени лог всех заказов в Яндекс-такси. Можно посмотреть, кому назначен, что с ним происходит, кто выполняет, адрес подачи итп.
Нажимая Ctrl-U на этой странице, мы видим ID заказа, компанию которой он назначен.
Вот мы и докопались до ID заказов других компаний на неавторизованной странице (на авторизованных они тоже есть, но повторюсь: было интересно найти на неавторизованной).
Далее, используя инструменты, доступные в разных частях личного кабинета, мы можем не просто наблюдать, но и воздействовать на процесс. например, можно чужой компании изобразить отмену заказа, а самому послать машину вместо нее!
Для водителя это будет выглядеть, как отмена заказа. Для клиента — как «приехала другая машина».
Это просто клондайк какой-то для человека, настроенного на нечестные способы ведения бизнеса!
но мы не такие
Самое интересное, что это не просто какая-то одна дырка, а все ПО целиком такое, весь сервис построен на том, что НИКАКОЙ защиты информации нет. Продукт представляет собой просто этакий просмотрщик записей в БД без какой-либо защиты между пользователями.
Представьте, залогинившись в гугл Вы бы могли посмотреть всю почту ВСЕХ пользователей Гугл. Вот тут примерно такой случай.
Однако продолжим. Комплекс содержит еще приложение для андроида. Взяв приложение «Таксометр» с андроид маркета мы быстро выяснили, что оно делает запросы по неавторизованным урлам. И первый неавторизованный http-запрос, который делает это приложение, — угадайте, какой?
Правильно, полный список пар UUID-название компаний!
Используя урлы, взятые из этого приложения, можно:
и так далее.
Здесь я получил еще одно подтверждение, что не только водителей можно воровать, но и заказы у этих водителей.
Рассказывают, что ушлые люди уже даже выпустили на эту тему специальное приложение по перехвату заказов Яндекс.Такси. Жаль на андроид маркет только не выложили (или выложили? Надо бы посмотреть в платных разделах маркета.)
Ну а теперь давайте немного поразмышляем на тему, о которой я писал вначале.
Коррупция или не коррупция.
Да, Яндекс — частная фирма. Слово «коррупция» к нему не применимо. Однако возникает интересный вопрос: вот Яндекс покупает за огромные деньги (миллиард) программный комплекс. При этом, судя по вышеприведенной картинке, НИКАКОГО технического аудита этого программного комплекса не произведено.
То, что нашел я (рядовой IT-шник) за пару часов копаний в кафе, специалист по безопасности нашел бы без особого труда, но вопрос: почему этот специалист (коих у Яндекса вдоволь) даже не заглянул в этот комплекс за миллиард?
Как Вы думаете, этот комплекс куплен с использованием системы «откатов», или нет?
Мне кажется, что, проводя сделку за миллиард, не выделить 10 тыс руб на один рабочий день специалиста для проведения аудита это… гхм… или сознательная халатность, или совсем уж хочется побыстрее от миллиарда избавиться 
Объяснение, что это куплено с использованием отката, — по моему, наиболее логичное.
Интересный вопрос: кто в Яндексе принимал решение о покупке такой «большой дыры»? Вероятно, с него должны начать выяснение обстоятельств покупки СБ Яндекса.
PS: После того, как мы поразглядывали Таксометр с андроид-маркета, мы заглянули еще и в устройство приложения для заказа такси с того же маркета — Яндекс.Такси. Что удручает — ситуация там очень похожая. Его явно делали люди, далекие не только от вопросов безопасности, но и от вопросов HighLoad программирования.
Впрочем, это совсем другая история, о ней можно написать отдельную статью.
PPS: Недавно Яндекс.Такси внедрило оплату поездок кредитными карточками. Мне вот лично как-то страшно теперь платить за поездку кредиткой. А Вам?
UPD: Яндекс уведомлен о проблеме, так что здесь предлагаю обсудить способ взлома бизнеса Яндекс.Такси примененный товарищами из вышеупомянутой компании. Можно только выражать восхищение бизнес-способностям этих людей. Согласитесь, развести крупнейшую компанию рунета на такие деньги без какой-либо проверки качества впариваемого кода — это вам не старушкам пылесосы продавать…
ООО «ДСП Я ндекс.Такси» предлагает службам такси в автоматическом режиме получать заказы от пассажиров, находящихся поблизости. Подключение к Я ндекс.Такси поможет не только увеличить количество заказов, но и снизить холостой пробег и нагрузку на диспетчерскую.
Мы приглашаем к сотрудничеству службы такси Москвы и Московской области.Компания «ДСП Я ндекс.Такси» (далее Я .Такси) является официальным партнером Я ндекс.Такси и приоритетным дилером, подключенным «по прямому протоколу» к сервису Я ндекс.Такси, благодаря чему имеет значительные преимущества и максимальный рейтинг и наивысшую категорию при распределении заказов .
Мы предлагаем объединить возможности нашей диспетчерской и вашей службы такси на взаимовыгодных условиях. Варианты сотрудничества:
В случае долевого участия или аренды мы установим в вашей диспетчерской систему Я .Такси, подключенную к сервису Я ндекс.Такси «по прямому протоколу», и вы полностью самостоятельно начнете управлять процессом распределения заказов, а так же сопровождением своих водителей и автомобилей.
Ценность подключения к сервису Я .Такси в следующем:Приложение Я ндекс.Такси с каждым днем становится все более популярным. Преимущества сервиса заключаются в том, что он позволяет пассажиру с помощью мобильного приложения заказать такси к месту своего нахождения без звонка в диспетчерскую всего несколькими нажатиями кнопок. Заказ автоматически уходит сразу всем выбранным службам такси и попадает именно к тому экипажу, который находится ближе всех.
Динамика роста заказов Яндекс.Такси по месяцам
Для того, чтобы ваша служба могла получить новый источник заказов, мы интегрировали систему Я .Такси с сервисом Я ндекс.Такси. В рамках этой интеграции все экипажи вашей службы смогут принимать заявки прямо из сервиса, а информация о заказах, взятых из Я ндекс.Такси, автоматически будет попадать в вашу диспетчерскую.
Подключение к Яндекс.Такси открывает ряд серьезных преимуществ:
Таким образом, система Я .Такси является вашим пропуском в самый перспективный сервис онлайн-заказов, который в ближайшие годы станет важнейшим источником прибыли для служб такси крупных и средних городов. Сегодня он работает в Москве, следовательно, московские пользователи Я .Такси уже сейчас могут воспользоваться возможностями интеграции.
В дальнейшем, по мере распространения сервиса, такую возможность получат пользователи системы Я .Такси в следующих городах. Санкт-Петербург, Нижний Новгород, Воронеж, Казань, Краснодар, Красноярск, Новосибирск, Омск, Пермь, Ростов-на-Дону, Самара, Сочи, Тюмень, Уфа, Челябинск, Ярославль, Рязань, Екатеринбург.
Принципы работы сервиса Я ндекс.ТаксиКатегория ТС определяется по цене самого ТС в соответствии с ценами на http://auto.yandex.ru/
Цветом в таблице обозначены категории водителей такси. Чем выше категория находится в таблице, тем больше заказов Я ндекс.Такси будет предлагать водителям такси в ней. Внутри каждой категории водители такси отсортированы по идентификатору, который не влияет на приоритет.
Категории распределяются согласно приведенной ниже таблице. Для попадания в каждую категорию необходимо выполнить описанное в соответствующей строчке условие, а также все условия из более низких строк. Таким образом, в самую высокую категорию можно попасть только если выполняются вообще все условия. Если у водителя такси мало оценок пользователей, он не может попасть в самую высокую категорию, только во вторую.
Свои вопросы о возможностях интеграции Я .Такси с Я ндекс.Такси, способе подключения к услуге и т.п. вы можете задать обратившись напрямую к нашим менеджерам .
Если Вы хотите с нами сотрудничать, позвоните нам по номеру телефона
+7 (964) 501-00-00Перехватчик заказов такси скачать. Перехватчик такси скачать бесплатно facebook на.
Почему я не могу фильтр сектора финиша использовать? Да потеряю может на подаче, но домой доеду за счет клиента, Реалізація функції таксометра з використанням програмного забезпечення mobile-taxi від компанії міжнародні транспортні системи.
Программа перехватчик заказов для такси сити мобиль и ангелВести учет и обслуживание поступающих заказов.
Перехватчик заказов такси скачатьНадо ограничить количество служб в городе, которые наплодил эвос. На мой взгляд, это нормальный, логичный процесс эволюции. Или никуда не обращаться, а установить в автомобиле, например, утюг и приклеить к нему шильдик, что это таксометр. Кстати, именно по этому сейчас не ведутся доработки интерфейса по java версии. Напоминаем вам, что на форуме киевских таксистов вы можете бесплатно разместить свое объявление в соответствующей рубрике.
Раньше владельцу диспетчерской необходимо было приложить массу усилий и понести серьезные капитальные затраты для на соответствующем требованиям рынка уровне самостоятельно заниматься организацией надежной радиосвязи с автомобилями такси, построением компьютерной системы учета и обработки заказов, интеграцией с системами телефонии. Тем не менее, как устройство для передачи заказов, его можно принять. Эвос себя никогда не позиционировал, как главного, а только лишь как разработчика программного обеспечения. Загальні технічні вимоги та методи випробування (etsі en 301908-32007, іdt) все вышеуказанные требования к оборудованию касаются функции передачи заказов. Eсли, вам самостоятельно не удалось установить или решить установку через интернет, готов помочь - стоимость 50грн. Армт-1 нельзя считать таксометром, он к таковым не имеет никакого отношения, на том основании, что в сертификате соответствия нет упоминая о соблюдении требований к таксометрам электронным. Например в русских программах такси эта функция бесплатна и называется робот у нас новый перехватчик, ловим хорошие заказы на уровне соз. Складывается впечатление, что вас устраивает, что работают только те, кто на перехватах. Дсту etsi en 3015112007 обладнання систем стільникового радіозвязку стандарту gsm абонентське. Ответ если программа функционировала нормально и вдруг перестала работать, то 1) первым делом, проверьте соединение с интернет! Сделать это можно зайдя в браузер и введя любой поисковый запрос, например лук.
Перехватчик заказов такси скачать. 8 beta 1 portable.
Общие - перехватчик заказов такси - таксиОбщие перехватчик заказов такси такси. Перехватчик заказов такси скачать челябинск утром кафе ной сгорело в центре города.
05.06.2015, ПТ, 20:06, Мск. Текст: Игорь Королев
Программное обеспечение «Рос.Такси», приобретенное «Яндексом» за i 1 млрд, содержало серьезную уязвимость. Профайлы водителей и таксопарков, работающих с «Яндекс.Такси», находились в открытом доступе, а недобросовестные таксисты могли перехватывать заказы конкурентов.
Сервис для управления таксопарком «Рос.Такси», приобретенный «Яндексом» у компании «Росинфотех» содержал серьезную уязвимость. Об этом в своем блоге на Habrahabr рассказал пользователь Lamamer .
«Росинфотех» производит ПО для координации работы таксомоторных парков и является автором приложения «Таксометр» для таксистов-водителей, обеспечивающего подсчет стоимости поездки и связь водителей с диспетчерской.
На момент приобретения «Яндексом», по данным самого поисковика, через «Рос.Такси» и так уже было подключено 70% машин, работающих с ««Яндекс.Такси», и обслуживалось 60% заказов «Яндекс.Такси».
Каждый пользователь ПО «Рос.Такси» (таксопарки и водители) имеет уникальный идентификатор — UUID. Зная UUID пользователя, можно в веб-браузере, без авторизации получить о нем всю информацию.
По утверждению Lamamer, UUID всех компаний-пользователей данного ПО можно узнать путем просмотра исходного кода страницы (командой Ctrl+U в браузере Chrome). Кроме того, посредством анализа запросов приложения «Таксометр» также можно найти адрес страницы, на которой доступны UUID таксопарков.
С помощью простого скрипта ему удалось свести в базу данных «всех водителей «Яндекс.Такси» во всех городах (не только в Москве) с их телефонами, рейтингами, номерами прав, лицензий, балансами счета и прочей приватной информацией».
Демонстрация доступа к данным водителей чужих таксопарков
«Так я получил вещественное доказательство более чем двухлетним подозрениям моего друга о воровстве водителей», — пишет Lamamer.
Lamamer утверждает, что ему удалось найти страницу, где без авторизации можно просматривать все текущие заказы «Яндекс.Такси», включая информацию об их ID, водителе, статусе заказа, адресе подачи и др.
Наконец, Lamamer пишет, что имея доступ к личному кабинету пользователя «Рос.Такси» и зная ID-заказов, компания-таксопарк может перехватывать заказы конкурентов и переманивать клиентов. Для водителя этот перехват будет выглядеть как отмена заказа, для клиента — как «пришла другая машина». Еще одна доступная возможность: осуществление широковещательной рассылки водителям, например, с целью отправки им предложений о работе.
Демонстрация доступа к логу заказов такси
Lamamer утверждает, что уведомил «Яндекс» о найденных им уязвимостях. Представительница пресс-службы «Яндекса» Элина Ставиская сообщили CNews, что данная проблема уже решена, при этом карточки клиентов (пассажиров «Яндекс.Такси») не находились под угрозой. От более подробных комментариев в «Яндексе» отказались.
Напомним, общая объем сделки по покупке «Яндексом» компании «Рос.Такси» составляет сумму до i 1 млрд. Половина этих денег будет выплачена наличными, причем i 380 млн — не в момент совершения сделки, а позднее при условии успешной технической интеграции приобретенного ПО и перевода его клиентской базы. Оставшиеся i 500 млн будут выплачены в виде акций «Яндекса» через три года после совершения сделки при условии достижения приобретенной компанией ряда показателей.
Группа: Руководитель
Сообщений: 75
Регистрация: 15.12.2009
Пользователь №: 3902
Город в котором работает компания:такси-Союз
Должность: владелец и директор
Организация: таксопарк
Уважаемые форумчане и все остальные господа.
Суть очень проста как с вашей фирмы уходят заказы без вашего подозрения в этом.
Все в основном в наши времена работают на ПО раздают заказы по различным логическим вариантом раздачи отлично всё работает идём дальше.
Приходит очередной счастливчик в вашу Фирму устраивается на работу закачка проги в телефон данные в комп.
Отлично всё объяснили водила попробовал да удобно хорошо и пошел работать.
И с этого момента всё и начинается интересное этот телефон попадает в диспетчерскую службу на стол к опытному диспетчеру и такой телефон не один из вашей службы.
Продолжать дальше объяснять не имеет смысла всё и так я думаю объяснил.
С такими вещами столкнулся лично хотелось бы услышать как ВЫ РЕШАЕТЕ ЭТИ ПРОБЛЕМКИ?
В обыденной жизни люди постоянно сталкиваются с выбором, что приобрести(купить), какой услугой воспользоваться. Наша цель создать самые оптимальные условия как для покупателей(куплю), так и для продавцов(продать), для осуществления этого выбора. Наряду с понятностью, простотой использования, приятным внешним видом нашего сайта мы стремимся сочетать большую информативность, напоминание и стимулирование для совершения покупок. В разделе 'Презентация(описание)' Вы можете разместить бесплатно любую, за исключением ложной, недобросовестной, неправдоподобной, неэтичной и другой ненадлежащей информации, которая поможет Вам достигнуть своих целей. Надеемся Вам будет легко купить или продать на нашем сайте.
Наш сайт лучший способ рассказать о себе, товарах и услугах в сети Интернет. На доске представлены тысячи обьявлений о услугах, покупке, продаже, аренде, недвижимости, авто, промышленного оборудования, компьютеров, средств связи. У нас просто и удобно:
- разместить любое количество обьявления(можно бесплатно поднимать вверх списка, нажатием на синюю стрелку) на любую необходимую тематику в соответствующие рубрики (Транспорт. Другое)
- при помощи хорошей сортировки легко найти нужный товар(Такси. Установка двух программ на планшет, телефон. Перехватчик заказов.) по определенному адресу.
Для большей эффективности, добавьте фотографии, желательно, большого разрешения, пишите подробное описание, местонахождение не только страна и город но и улицу, дом, условия доставки и другую информацию. Рекомендуемая длина текста не менее 40 слов, избегайте копирования текстов с других ресурсов, чтобы не создавать дубликаты. Не используйте большое количество ключевых слов. Выполняя рекомендации, Вы сможете добиться более высокого рейтинга в поисковых системах, что позволит привлечь больше посетителей на свою страницу.
P.S. При наведении мышью на кнопки, по центру в верхней части экрана появляются подсказки. Например: если навести мышью на надпись допустим Киев, покажется подсказка (Киев), нажатием включится фильтрация, выводятся обявления города, при нажатии на флаг Украина сортировка будет по стране. Это обявление в поисковых системах(google, yandex) ищут по ключевым фразам: где купить Такси. Установка двух программ на планшет, телефон. Перехватчик заказов. недорого купить бу, slando купити б у, olx Киев Такси. Установка двух программ на планшет, телефон. Перехватчик заказов. авито, купить новый сландо.
Хотели бы Вы пользоваться прогой-перехватчиком?
Похоже на вопрос типа "Хотели бы вы быть Персидским шейхом?" со всей своей философией. 
Ко всем прогам-прибамбасам я присматриваюсь лишь как циник-наблюдатель, а их цена в 10 грн. за день (3650 грн. за год) отбивает желание пользоваться подобными программами на постоянной основе.
На смене я не допускаю отьезды в сектора, где нет работы, поэтому и потребность в подобном помощнике у меня бывает (теоретически) где-то раз за смену и не факт, что этот заказ я не возьму своим пальцем без помощи этой программулины.
Получается, что от денег, полученных от пассажира, в уме уже нужно отминусовать 10-12 % за заказ и 10 грн. впридачу.
А с учётом подачи и затрат на топливо, прибыль от этого единичного заказа с гулькин нос.
Резюме: на шару бы пользовался, за 10-ку - не. 
_________________
"Знай прошлое, живи настоящим, думай о будущем."
"Писать не думая - всё равно, что стрелять не целясь."
.jpg)
