تتكون هذه القصة القصيرة من جزأين:
- اكتشاف ثغرة ظهرت على الأرجح بسبب عدم اهتمام المطورين ؛
- تقرير عن اكتشاف بلين.
لكن هذا المنشور لم يكن ليظهر لو كان كل شيء بسيطًا جدًا.
الجزء 1. ماذا حدث؟
بالأمس ، أثناء تصحيح تطبيقي في Android Studio ، فتحت Logcat ورأيت أن "My Beeline" تومض هناك. اذن ماذا؟ لقد قمت بالفعل بتثبيت هذا التطبيق. تكتب العديد من التطبيقات شيئًا ما في السجل.
لكن. اتضح أنه طلب HTTP وسجل الاستجابة. مرة أخرى ، هذا ليس مخيفًا جدًا. رابط طلب واجهة برمجة التطبيقات ، رسالة حول الاستجابة الناجحة.
لكن. بالإضافة إلى الرابط ، الرؤوس ونص الطلب ، بما في ذلك محتوى json (تم تنسيقه بعناية) وجلسات الرمز المميز.
ثم يمكنك فقط جعل نفسك الفشار ، وتصفية من خلال الكلمة الرئيسية "beeline" ومشاهدة حياة الشبكة للتطبيق.
الجزء 2. نصدر ناقوس الخطر.
بالطبع ، لا ينبغي ترك هذا. دون تردد ، أذهب إلى موقع الشركة المذكور أعلاه ، أجري من خلال عيني قطريًا ولا أجد شيئًا أفضل من عرض لبدء محادثة بالدعم مباشرة على الموقع. بالطبع ، صادفت التحكم في الوجه في شكل روبوت للدردشة.
وأعقب ذلك الحوار التالي:
حوار مع البوتBot: شكرًا لك على الاتصال بمحادثتنا. اطرح سؤالًا وسيساعدك خبراؤنا في إيجاد حل.
لي: مساء الخير ، اكتشفت بالصدفة ثغرة في تطبيق Android ، أين يمكنني الإبلاغ عنها؟
Bot: تعد iMessage و FaceTime تقنيات طورتها Apple مقابل رسوم. مطلوب اتصال بالإنترنت للاستخدام. iMessage - يسمح لك بإرسال رسالة نصية إلى مستخدم iMessage آخر. يمكن تعطيل الخدمة في إعدادات جهازك: "الإعدادات" - "الرسائل" - "iMessage" - تعطيل. FaceTime هو برنامج يمكنك من خلاله إجراء مكالمات الفيديو والصوت بين أجهزة Apple. يمكنك أيضًا تعطيل هذا الخيار في إعدادات جهازك: "الإعدادات" - "فيس تايم" - تعطيل. إذا كان لا يزال لديك أسئلة حول الإمكانيات ضمن هذه الخدمة ، فيمكنك الاتصال بها. دعم Apple iPhone: 8-800-555-67-34 (مكالمة مجانية).
أنا: ماذا؟
Bot: الرجاء تحديد ما يثير اهتمامك.
Me: لقد اكتشفت عن طريق الخطأ وجود ثغرة أمنية في تطبيق Android ، أين يمكنني الإبلاغ عنها؟
Bot: تعد iMessage و FaceTime تقنيات طورتها Apple مقابل رسوم. مطلوب اتصال بالإنترنت للاستخدام. iMessage - يسمح لك بإرسال رسالة نصية إلى مستخدم iMessage آخر. يمكن تعطيل الخدمة في إعدادات جهازك: "الإعدادات" - "الرسائل" - "iMessage" - تعطيل. FaceTime هو برنامج يمكنك من خلاله إجراء مكالمات الفيديو والصوت بين أجهزة Apple. يمكنك أيضًا تعطيل هذا الخيار في إعدادات جهازك: "الإعدادات" - "فيس تايم" - تعطيل. إذا كان لا يزال لديك أسئلة حول الإمكانيات ضمن هذه الخدمة ، فيمكنك الاتصال بها. دعم Apple iPhone: 8-800-555-67-34 (مكالمة مجانية).
أنا: ما الذي يحدث؟
Bot: الرجاء إعادة صياغة سؤالك.
Me: لقد اكتشفت عن طريق الخطأ وجود ثغرة أمنية في تطبيق Android ، أين يمكنني الإبلاغ عنها؟
Bot: تعد iMessage و FaceTime تقنيات طورتها Apple مقابل رسوم. مطلوب اتصال بالإنترنت للاستخدام. iMessage - يسمح لك بإرسال رسالة نصية إلى مستخدم iMessage آخر. يمكن تعطيل الخدمة في إعدادات جهازك: "الإعدادات" - "الرسائل" - "iMessage" - تعطيل. FaceTime هو برنامج يمكنك من خلاله إجراء مكالمات الفيديو والصوت بين أجهزة Apple. يمكنك أيضًا تعطيل هذا الخيار في إعدادات جهازك: "الإعدادات" - "فيس تايم" - تعطيل. إذا كان لا يزال لديك أسئلة حول الإمكانيات ضمن هذه الخدمة ، فيمكنك الاتصال بها. دعم Apple iPhone: 8-800-555-67-34 (مكالمة مجانية).
ليس لدي أي فكرة على الإطلاق بسبب الكلمة الرئيسية التي كان البوت يشوهها كثيرًا. شعرت بالملل بسرعة من هذه المحادثة مع جهاز الرد الآلي. لقد جربت تركيبة أخرى ، وها ، تم تكديس معلومات المساعدة علي مرة أخرى ، ولكن في النهاية كان لا يزال يُعرض علي التحدث مع شخص حقيقي. يا هلا ، ظهر أوليغ معين ، درس حواري مع الروبوت (ربما شعر بالارتياح لأن الروبوتات لن تحل محله بعد) ونصحني أن أصف اكتشافي مع لقطات الشاشة إلى otvet@beeline.ru (لم أجد ذكرها على الموقع ، ربما كنت أبحث عنه). ثم شكرني أوليغ على المساعدة وغادر لإنقاذ الروبوتات الأخرى.
أنا مسرور بالتقدم ، كتبت ما يلي إلى البريد المشار إليه:
رسالتيمساء الخير
اكتشفت بالصدفة أن تطبيق My Beeline android يدمج جميع طلبات واجهة برمجة التطبيقات في السجل جنبًا إلى جنب مع الرموز المميزة ومحتوى json. في رأيي ، هذه نقطة ضعف.
التحيات
كوزلوف ميخائيل
راضيًا عن نفسه ، صنع القهوة واستمر في العمل. اليوم جاء الجواب.
الجوابمرحبا مايكل!
ليس من الواضح ما الذي لا يناسبك بالضبط. صف مشكلتك بمزيد من التفصيل.
شكرا لك على استخدام خدمات Beeline.
مع أطيب التحيات
نيكراسوف فياتشيسلاف ،
خدمة دعم عملاء Beeline.
بعد طقوس facepalm ، لتجنب كتابة رسالة أنها لا تعمل بالنسبة لي ، ولكن بالنسبة لهم: روبوت الدردشة وخدمة دعم ومطوري التطبيقات ، وصفت المشكلة بمزيد من التفصيل.
هذه المرة ، لم يكن علي الانتظار طويلا ، جاء الجواب في خمس دقائق.
ها هو ذاعزيزي العميل! نحن نسعى جاهدين لمواكبة العصر وتقديم الخدمة في قنوات الاتصال ذات الصلة. من المهم بالنسبة لنا أن تتلقى تعليقات منا في أقرب وقت ممكن. دعم البريد الإلكتروني غير متاح. للحصول على إجابة فورية على أي سؤال ، ندعوك للدردشة مع أحد المتخصصين على الموقع: https://beeline.ru/customers/pomosh/ أو في تطبيق الهاتف: https://beeline.ru/dl ! يرجى ملاحظة أنه يتم إنشاء هذه الرسالة تلقائيًا ولا يلزم الرد. نحن في انتظارك في محادثة على الموقع أو في تطبيق الهاتف المحمول. خطك المباشر!
