L'histoire d'un petit piratage ou d'un bug adéquat Bounty d'un fournisseur Internet local

Présentation

Bonjour mes amis. Cette histoire d'un petit piratage m'est venue à la mi-août de cette 18e année. L'histoire a commencé dans une petite ville du territoire de Krasnodar, le tyrnet est mauvais, il y en a 4g, mais ce n'est pas ça, ici on ne pouvait que rêver de fils à l'extérieur de la ville. Et récemment, ce miracle s'est produit, des fils ont été tirés dans ma région et j'ai immédiatement couru pour connecter 100 Mbps via fibre, 8k pour la connexion avec un tarif.

Curiosité

Les joies sont pleines de pantalons, il en jettera un bon, le fournisseur est petit local, il a le statut de fournisseur local, par curiosité j'ai fouillé pour le lux, regardé quels sous-domaines là-bas, et j'ai trouvé le sous-domaine admin.provider_domain.ru / qui a immédiatement jeté la connexion sur le formulaire de connexion. php, F12, ouvert a regardé ce qui y était chargé, js, il y avait des liens intéressants dans les requêtes ajax "/? user_id =" + id, juste en copiant le lien et en conduisant dans un nombre aléatoire, j'ai obtenu les données utilisateur dans le tableau:

Numéro / série de passeport
Publié par
Date d'émission
Nom complet
adresse de résidence
numéro de téléphone
Connexion (depuis tyrnet)

"Eh bien, ça ne peut pas être le cas", a bloqué la bibliothèque dans head jq, a passé 5 minutes à écrire une requête ajax en boucle et à la cracher dans le corps de la page, produisant 21 000 entrées.

Ctrl + f rapidement, a conduit mon nom, et oui j'étais là. Ma surprise, c'est-à-dire accès libre aux données utilisateur bloquées. J'ai regardé le reste des liens dans les requêtes ajax, il y avait beaucoup de tout, une sorte de gestion des commutateurs, une sorte de redémarrage de quelque chose, car il crachait, il était difficile de comprendre de quoi il était responsable, ce n'était pas déjà si intéressant pour moi.

Il était déjà trop tard, j'ai pensé: «Eh bien, les idiots développés ont foiré » et je me suis couché.

Sur la piste. le jour où j'ai commencé à penser, ce n'est pas une blague, et je peux être tenu pénalement responsable de cela, et dans notre pays, ils plantent des dépôts. Il convient de noter que je n’avais pas prévu de faire quelque chose comme ça, sinon je me serais protégé avec vpn / proxies. Et d'un autre côté, s'ils laissent de tels trous, il est peu probable qu'ils regardent les journaux. Et d'un autre côté, il vaut mieux que je leur dise comment ils trouveront mes morceaux, puis ils ne me parleront certainement pas.

Point joué

Je google le nom de l'organisation sur Habré, je trouve une organisation avec plusieurs navets, il n'y a rien d'intéressant, je regarde qui est inclus dans cette organisation, je google encore, je trouve des développeurs dans VK. J'écris: "Bonjour, pourquoi 21 000 enregistrements d'utilisateurs avec toutes leurs données sont-ils accessibles au public?" Il écrit qu'il a informé le patron. D'accord, je pense que j'ai fait mon travail.

Châtiment pour la curiosité

Je me suis réveillé, vers 10 heures du matin, je dois travailler, je suis frontend. On frappe à la porte, je regarde par la fenêtre, je regarde la machine rouge, 3 personnes, je reconnais un des développeurs sur les photos, je pense que c'est tout, mais j'ai sauvegardé tous les enregistrements, tout comme une page html sur le bureau, rapidement shift + del> confirm , take Je prends une cigarette, je vais, je pense que ça va être amusant maintenant, je l’allume, je sors.

- Bonjour
- Bonjour
- Je comprends que vous compreniez d'où nous venons
- Oui, j'ai déjà compris - j'inhale la fumée
- Je veux vous avertir (montre le téléphone) J'enregistre une conversation
- d'accord
- Vous avez téléchargé notre base de données hier
- Non, je n'ai pas téléchargé, j'ai trouvé une vulnérabilité, et je vous ai informé.
- Nos informaticiens ont des données que vous avez téléchargé cette base de données
- C'est impossible, tu peux seulement voir que je l'ai regardé
- Nous sommes déterminés à résoudre cela tranquillement, pacifiquement, nos informaticiens peuvent s'assurer que vous ne l'avez pas gardé pour vous?
- En principe, oui, allez-vous chercher l'unité centrale ou vérifie-t-elle tout chez moi?
Le spécialiste informatique dit:
- Il vaut mieux prendre l'unité centrale et vérifier au bureau
- d'accord

Ici, vous pouvez contester ma décision, d'une part, qui vous êtes, je n'ai rien téléchargé, n'interférez pas, je ne donnerai pas mon pilote système, et que me prouvez-vous, d'autre part c'est dangereux, je ferais mieux de leur parler, qu'avec la police. Ils peuvent être compris, ils merdent avec le personnel de sécurité, ils ont le droit de s'en assurer. J'ai décidé qu'il valait mieux parler avec eux.

Nous rentrons chez eux avec eux, abattons l'homme du système, mettons des jeans, des baskets, allons au bureau, sortons de la voiture, et nous allons tous chez le directeur. Diverses questions, pourquoi avez-vous fait cela, pourquoi, comment avez-vous fait cela, j'ai dit que leur base était dans le domaine public, et n'importe qui pouvait le faire. Nous avons parlé, nous allons vérifier le pilote du système, ces experts ont vérifié les bogues, regardé le panier, téléchargé le programme, recherché par mots-clés, leur ai-je proposé de vérifier mon téléphone? Je pourrais économiser sur le téléphone, sur une clé USB et sur les nuages? Je pourrais enregistrer Google Drive. En général, ils cherchaient une tique, j'ai regardé et espéré qu'ils ne devineraient pas de télécharger une sorte de programme de récupération de données et de voir ce qui a été supprimé. (question dans les commentaires, mais avec les données ssd est également facilement restauré à partir du disque?)

Épilogue

Il s'est assis pendant 2 heures à regarder leurs tentatives. Le spécialiste du système l'a pris, est allé avec l'avocat au directeur, m'a proposé de signer un contrat en vertu duquel j'aurais été embauché rétroactivement, pour rechercher des vulnérabilités dans leur système, disent-ils, mais nous ne vous paierons pas (j'ai lu le contrat avant de signer (mais je n'ai pas demandé de copie) deviné)), nous vous donnerons un an d'Internet gratuit comme moyen de paiement, d'accord. Ils m'ont ramené à la maison.

Comme mon collègue l’a noté plus tard, c’est bien que l’année de l’Internet gratuit et non une année de probation. 1500 coûte un mois sans argent, multipliez par 12, tellement j'avais sur mon compte en lx quand je suis rentré chez moi et vérifié. Penchez-vous en arrière sur la chaise, expirez.