बग बाउंटी कीवस्टार: जीरा, एडब्ल्यूएस, ऐप्पल, गूगल डेवलपर, बिटबकेट सेवाओं के लिए व्यवस्थापक पहुंच के लिए इनाम - $ 50

संयोग, भाग्य और इनाम की कहानी।

दो साल पहले, डाइनिकिन ने एक पोस्ट लिखा था कि कैसे वह यूक्रेन के सबसे बड़े मोबाइल ऑपरेटर, कीवस्टार के डैशबोर्ड में एक भेद्यता पाई गई थी। सत्यापन के बिना किसी भी Kyivstar फ़ोन नंबर को अपने खाते में जोड़ने की अनुमति देने और पूरी तरह से प्रबंधित करने की अनुमति:

• संतुलन और कॉल विवरण देखें;
• पीयूके कोड और सिम कार्ड की क्रम संख्या देखें, जो आपको सिम कार्ड को स्वयं बदलने की अनुमति देता है;
• नई सेवाएं जोड़ें और टैरिफ योजना बदलें;
• और सबसे महत्वपूर्ण बात, फोन से फोन पर पैसा ट्रांसफर करना।

भेद्यता को बंद कर दिया गया था, और लेखक, आभार में, 3 महीने के लिए 4,000 मेगाबाइट इंटरनेट से कनेक्ट करके एक बड़ा बोनस का भुगतान किया गया था।



बाद में, अपने पोस्ट में rewiaca रहने योग्य उपयोगकर्ता " क्यों यूक्रेन में कोई सफेद हैकर्स नहीं हैं या कीवस्टार को हैक करने का इतिहास है " इस तरह के उदार इनाम के साथ स्थिति को भावनात्मक रूप से अधिक वर्णित किया।

टिप्पणी में, विटाली सुल्तान, सोलटन , मुख्य डिजिटल अधिकारी कीवस्टार को तब नोट किया गया था, जो जल्द ही बग बाउंटी में लॉन्च करने का वादा कर रहे थे ।

और अब, लगभग दो वर्षों के बाद, कीवस्टार ने अपने स्वयं के बग बाउंटी कार्यक्रम के शुभारंभ की घोषणा की । घोषणा में पहले वाक्यांशों में से एक निम्नानुसार था:

कीवस्टार ने नोट किया कि अद्यतन माई कीवस्टार प्रणाली के बीटा परीक्षण के दौरान भेद्यता पाए जाने के बाद उन्होंने कार्यक्रम शुरू करने का फैसला किया।

जैसा कि आप देख सकते हैं, कंपनी असंतुष्ट है , क्योंकि यह उपयोगकर्ता Habrahabr.ru डाइनिकिन था, जिसने माई कीवस्टार सिस्टम में भेद्यता पाई थी।


शाम को, मैंने अपने स्पैम फ़ोल्डर में एक HTML अटैचमेंट के साथ कीवस्टार डोमेन से एक पत्र पाया।

और यहीं से मस्ती शुरू होती है।

इस तथ्य के बावजूद कि प्रेषक का नाम उस कर्मचारी के नाम के साथ मेल खाता है जिसने बगक्रोड प्लेटफॉर्म पर मेरे पिछले अनुरोध का उत्तर दिया था, ई-मेल उस बॉक्स पर नहीं आया था जो पंजीकरण के लिए उपयोग किया गया था।

वायरस के लिए अनुलग्नक की जांच करने के बाद, इसे एक नोटबुक के साथ खोलना और प्रेषक को googling, मैं अभी भी इस तरह के संयोग पर विश्वास नहीं कर सकता था: ये कीवस्टार कर्मचारी के कंप्यूटर के ब्राउज़र से बुकमार्क थे।

यूक्रेन में सबसे बड़ा मोबाइल ऑपरेटर भाग्यशाली था कि "Bookmarks_July.2018.html" फॉर्म के अटैचमेंट के साथ एक पत्र कहीं भी नहीं मिला (टॉटोलॉजी के लिए खेद है), लेकिन किसी ऐसे व्यक्ति को जो इस तरह के डेटा के मूल्य और इसके नुकसान के परिणामों को समझता है।

फाइल में कुल 113 बुकमार्क थे। और विभिन्न कड़ियों के बीच, दोनों काम के लिए (जो बाहरी नेटवर्क से नहीं खुलता था), और इतना ही नहीं, एक ऐसा भी था जो खुल गया, जिसने मेरी आँखें पाँच सेंट के लिए खोल दीं।

लिंक ने एक असुरक्षित फ़ाइल का नेतृत्व किया, जिसमें अन्य बातों के अलावा, निम्नलिखित कॉलम थे: "सेवा का URL", "लॉगिन" और "पासवर्ड":


(छवि को बड़ा करने के लिए, इसे एक नए टैब में खोलें)

फिर से सोचना, चाहे वह नकली था या हनीपोट , मैंने दो-कारक प्रमाणीकरण के रूप में एक बाधा की उम्मीद करते हुए, कई सेवाओं में प्रवेश करने की कोशिश की। लेकिन वह चली गई थी, और मैंने प्रवेश किया। व्यवस्थापक के रूप में लॉग इन करें:







यह समझना कि व्यवस्थापक अधिकारों के साथ पहुंच महत्वपूर्ण है, अगले दिन मैंने जल्दी से बनाया और उसी बुगक्रोड पर कीवस्टार को एक अनुरोध भेजा। बाद में मुझे धन्यवाद, प्रतिष्ठा अंक और $ 50 मिले।

$ 5,800 से अधिक के कुल आधिकारिक मूल्य वाले खातों तक पहुंच के लिए $ 50।

मैंने लिखा है कि व्यवस्थापक अधिकारों के साथ सूची से सेवाओं तक पहुंच:
अमेज़ॅन वेब सेवाएं
Apple डेवलपर
मोबाइल एक्शन
ऐप एनी
Disqus
Google डेवलपर्स
विंडोज देव केंद्र
KBRemote
JIRA
Smartsheet
PushWoosh
TicketForEvent
सैमसंग डेवलपर्स
Bigdata.kyivstar.ua और hub.kyivstar.ua के लिए सीएमएस
जीमेल
Zeplin
Prezi
Bitbucket
यह एक महत्वपूर्ण समस्या है, यह कंपनी की लगभग पूरी संरचना और सेवाओं का उपयोग करता है जो इसका उपयोग करता है।

व्यवसाय, प्रतिष्ठा और ग्राहकों को होने वाली संभावित क्षति के आधार पर, और केवल कीवस्टार इनाम तालिका को देखते हुए, जहां मेरे संकेत को प्राथमिकता दी गई थी P1 (संवेदनशील डेटा एक्सपोजर: गंभीर रूप से संवेदनशील डेटा - पासवर्ड प्रकटीकरण), मुझे अधिक उम्मीद थी:



किसी भी डिजिटल कंपनी की ऐसी सेवाओं तक पहुंच खोना व्यापार और प्रतिष्ठा के लिए एक महत्वपूर्ण झटका है। यह केवल किसी प्रकार की भेद्यता से बहुत खराब है, यह पूर्ण पहुंच है। यह किसी भी अपराधी के लिए क्लोंडाइक उपयोगी जानकारी है।

केवल एक खाते का उपयोग करना, उदाहरण के लिए, Apple डेवलपर में, एक हमलावर उपयोगकर्ता नाम और पासवर्ड को बदल सकता है और अपने आवेदन को अपलोड कर सकता है या केवल पिछले दरवाजे को छोड़कर व्यवस्थापक के साथ खुद को जोड़ सकता है।

हालांकि, कीवस्टार अड़े थे: "धन्यवाद, आपके लिए यहां $ 50 है, यह खोज कार्यक्रम के दायरे से परे है।"

यह अफ़सोस की बात है कि निगमों के इस तरह के फैसलों के कारण, ईमानदार लोग सोचेंगे कि ऐसी चीजों की रिपोर्ट कहां करें: मेरे जैसे आधिकारिक चैनलों के माध्यम से, या किसी ऐसे व्यक्ति को खोजने के लिए बेहतर है जो इस जानकारी के लिए अधिक जानकारी प्रदान करता है। कंपनियां खुद लोगों को बुरे विचारों और कामों की ओर धकेलती हैं।

और बात पैसे में नहीं है, लेकिन कंपनी के अनादर में है। जबकि बैंकों में से एक में मुझे अन्य ग्राहकों से रसीद प्राप्त करने के अवसर मिले और मुझे मिले प्रत्येक अवसर के लिए $ 300 से थोड़ा अधिक का भुगतान किया गया था, ऐसी भुगतान सेवाएँ भी हैं जो समान भेद्यता के लिए $ 20 से कम का भुगतान करती हैं - और कुछ भी नहीं, मैं दूसरे पर गुस्सा नहीं हूँ। 500 UAH पैसा भी। लेकिन यहाँ ...

शायद मुझसे बड़ा इनाम पाने की उम्मीद की जा रही थी। कृपया इस स्थिति में अपनी राय में सही पारिश्रमिक से नीचे सर्वेक्षण विकल्पों में चयन करें। आप अपनी राय यहाँ कमेंट में दे सकते हैं।

पुनश्च: हर नियम में एक अपवाद है।

UPD 01/09/2019 से: इस पोस्ट को पढ़ने से उत्पन्न प्रश्नों के उत्तर प्रकाशित + नई Kyivstar समस्या - https://habr.com/post/435074/