[Kekke]

Hade tråkigt och gjorde en gadget till windows 7, kanske är det någon annan som också skulle kunna ha användning för det.



Script.php:

PHP-kod:

<?php

$url = 'https://mobil.nordea.se/banking-nordea/nordea-c3/login.html';
$xyz = "xxxx";    // Personnummer
$xyx = "xxxx";     // Personlig kod

$ch = curl_init();

$headers[] = "Accept: */*";
$headers[] = "Connection: Keep-Alive";

// basic curl options for all requests
curl_setopt($ch, CURLOPT_HTTPHEADER,  $headers);
curl_setopt($ch, CURLOPT_HEADER,  0);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);         
curl_setopt($ch, CURLOPT_USERAGENT, 'Mozilla/5.0 (Windows NT 6.1; rv:11.0) Gecko/20100101 Firefox/11.0'); 
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1); 
curl_setopt($ch, CURLOPT_COOKIEFILE, 'C:\xampp\cookies.txt'); 
curl_setopt($ch, CURLOPT_COOKIEJAR, 'C:\xampp\cookies.txt'); 

// set first URL
curl_setopt($ch, CURLOPT_URL, $url);

$content = curl_exec($ch);


preg_match('/<input type="hidden" name="_csrf_token" autocomplete="off" value="(.*?)" \/>/', $content, $csrf_token);

$params = http_build_query(array('_csrf_token' => $csrf_token[1], 'xyz' => $xyz, 'zyx' => $xyx));

curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_POST, 1); 
curl_setopt($ch, CURLOPT_POSTFIELDS, $params);

$result = curl_exec($ch);
curl_close($ch);

require_once 'simple_html_dom.php';
$html = str_get_html($result);

echo $html->find('dd[class=account-list-right]', 0)->innertext;
?>

Nordea.Gadget:
http://fuskbugg.se/dl/yW4Gvp/Nordea.Gadget.rar

Ni behöver ändra om i nordea.gadget så att scriptet är länkat rätt.
PMa om någon undrar något.

[Jine]

Tänkte göra samma sak mot Swedbank bara för att Bankdroid slutat lira mot Swedbank - tills jag insåg varför. Deras mobilbank-sajt ligger nere...

Deras egna mobilapp fungerar dock, frågan är hur mycket jag vågar gräva i det egentligen. Något som vet hur det är juridiskt sett?
Trots allt inget egentligen dolt eller krypterat, vanligt HTTPS-trafik ifrån min mobiltelefon mot ett REST-API bara...

Det är odokumenterat och inte publicerat på deras sajt däremot, men API-endpointen är väl synlig i APK'ns resource-fil.
(hxxps://auth.api.swedbank.se/TDE_DAP_Portal_REST_WEB/****)