कैसे बैगहंटर्स ने ज़ीरोनाइट्स पर एयरमेल अक्षरों को इंटरसेप्ट किया

बग बाउंटी के बारे में पहले ही बहुत कुछ कहा जा चुका है, और कंपनियों के लिए इस तरह के कार्यक्रमों की आवश्यकता स्पष्ट प्रतीत होती है। हमारे अपने कार्यक्रम के अस्तित्व के दौरान, Mail.ru मेल ने $ 250,000 से अधिक का भुगतान किया, औसत भुगतान $ 379 है, हमने पहले से ही इस बारे में थोड़ा और लिखा है । और आज, हाल के ज़ीरोनाइट सूचना सुरक्षा सम्मेलन के उदाहरण का उपयोग करते हुए, हम इस बारे में बात करेंगे कि आप विशेष कार्यक्रमों के माध्यम से बग और भेद्यता की खोज में भाग लेने के लिए हैकर्स को कैसे आकर्षित कर सकते हैं।

इस साल, ज़ीरोनाइट्स सम्मेलन सेंट पीटर्सबर्ग में ए 2 ग्रीन कॉन्सर्ट क्लब में आयोजित किया गया था। मास्को से जाने के बावजूद, सम्मेलन 2 दिनों में 1000 से अधिक प्रतिभागियों को एक साथ लाया। सम्मेलन के दौरान, कई शांत विशेषज्ञों की रिपोर्टें सुनी गईं। अगर आपको हार्डकोर की जरूरत है, तो NUClear एक्सप्लोरेशन, ग्राफिक मोड से गॉड मोड, GPU वर्चुअलाइजेशन की डिस्कवरी कमजोरियों की जांच करें, मार्वल एवास्टार वाई-फाई पर रिसर्च करें: शून्य ज्ञान से लेकर ओवर-द-एयर जीरो-टच ई.ई.सी. इस वर्ष वेब के बारे में कई दिलचस्प रिपोर्टें थीं, आप स्लाइड और वेबविलेज देख सकते हैं और न केवल। व्यक्तिगत रूप से, इलिया नस्टेरोव और सर्गेई शेकयान की रिपोर्ट मेरे लिए महत्वपूर्ण थी। एक वास्तविक उपयोगकर्ता से बॉट को भेद करना कठिन और कठिन होता जा रहा है। रिपोर्ट के बारे में यहाँ और पढ़ें।

हमारे कार्य

हम खुद को निम्नलिखित कार्य निर्धारित करते हैं:

• समुदाय में बग बाउंटी ब्रांड और कार्यक्रम को बढ़ावा देना।
• स्मार्ट विशेषज्ञों की भर्ती करना जो सफलतापूर्वक कार्य का सामना करते हैं।

विचार

ऐसी परियोजनाओं में सबसे कठिन चुनौती: दिलचस्प कार्यों को विकसित करने के लिए, सबसे पहले, प्रतिभागियों को आकर्षित करेगा, और दूसरी बात, हमें अपने वास्तविक कौशल का परीक्षण करने की अनुमति देगा।

इस साल हमारा बूथ वायवीय डाक से सुसज्जित एक कार्यालय भवन था। टास्क का सार: एयरमेल का प्रमुख अकाउंटेंट को पत्र भेजता है, और हैकर का कार्य पथ को बदलना और विशेष डैम्पर्स का उपयोग करके पत्र को रोकना है।

स्टैंड इस तरह दिख रहा था:



मेल के बजाय, हमने टेनिस गेंदों का उपयोग किया, जो आवश्यक रूप से "लेखा" में डिफ़ॉल्ट रूप से ऊपर से नीचे तक चला गया। यह गेट्स को सक्रिय करने के लिए आवश्यक था, जिन्हें अरुडिनो + आरपी 3 का उपयोग करके नियंत्रित किया गया था, और "मेल" को अन्य ड्राइव पर पुनर्निर्देशित किया।

कार्य योजना:

• हम नौकरी के वाई-फाई नेटवर्क से जुड़े हैं।
• हम रास्पबेरी पाई नेटवर्क में पाते हैं, जो Arduino से जुड़ा है, जो डैम्पर्स को नियंत्रित करता है।
• आरपीआई एक वेब सर्वर कताई कर रहा है। दो कार्यों को पूरा करने की आवश्यकता है - कमजोरियों का फायदा उठाएं और अंत में उन्होंने डंपर्स को सक्रिय करने के लिए बटन दिए, जिससे "मेल" को पुनर्निर्देशित करने की अनुमति मिली।

गेंद वायवीय अक्षर का प्रतीक है:



असाइनमेंट के लिए विचार हम अपने शोधकर्ताओं की रिपोर्ट से लेते हैं।

कार्य

पहले कार्य में, प्रतिभागियों को RPi3 होस्ट को ढूंढना था और वहाँ अपाचे वेब सर्वर के लिए एक विशिष्ट कॉन्फ़िगरेशन भेद्यता को खोजना था: / सर्वर-स्थिति पृष्ठ, जो आने वाले सभी HTTP अनुरोधों को प्रदर्शित करता है। दूसरों के बीच, जीईटी मापदंडों में एक गुप्त मूल्य के साथ एक अनुरोध इस पृष्ठ पर आया, जिसने पहले स्तर को पारित करने की अनुमति दी। इस कार्य के लिए, आगंतुकों को हमारे बग बाउंटी कार्यक्रम में भाग लेने के लिए $ 100 का प्रचार कोड प्राप्त हुआ।


दूसरे कार्य को पूरा करने के लिए, पहले से ज्ञात निगरानी पृष्ठ की सामग्री का सावधानीपूर्वक अध्ययन करना आवश्यक था। क्लाइंट एप्लिकेशन कोड में, एक छिपी हुई विधि ढूंढना आवश्यक था जिसे इंटरफ़ेस से नहीं बुलाया गया था, लेकिन इसमें एक भेद्यता शामिल थी - मोंगोडब में एक "अंधा" NoSQL इंजेक्शन।


मुख्य कठिनाई एक atypical प्रौद्योगिकी स्टैक थी: MeteorJS, जो सामान्य HTTP अनुरोधों और प्रतिक्रियाओं के बजाय सक्रिय रूप से Websockets, साथ ही MongoDB और Pubsub का उपयोग करता है, ने मौजूदा उपकरणों के उपयोग की अनुमति नहीं दी और प्रतिभागियों को खुद को हमलों को स्वचालित करने में सक्षम होने की आवश्यकता थी। कई प्रतिभागियों ने MeteorJS प्लेटफ़ॉर्म की कार्यक्षमता में कमजोरियों की तलाश की, इसे एक नौकरी कोड के लिए गलत किया। इसके अलावा, कुछ प्रतिभागियों के लिए वेबसोकेट के माध्यम से अनुरोधों को स्वचालित करने में कठिनाइयाँ थीं।



प्रतिभागियों को इस प्रतियोगिता के लिए एक पुरस्कार के रूप में Mail.ru Bug Hunter sweatshirt प्राप्त हुई।

परिणाम

सम्मेलन के केवल दो दिनों में, 200 से अधिक लोगों ने हमारी प्रतियोगिता में भाग लिया। 100 प्रतिभागियों ने पहला काम पूरा किया, 45 लोगों ने दूसरा काम पूरा किया।

बेशक, सफलतापूर्वक कार्य पूरा करने के बाद, हमने मौके पर ही साक्षात्कार किया। $ 100 के लिए जनरेट किए गए कार्डों में देरी का प्रभाव पड़ता है, लेकिन उनमें से कई पहले ही सक्रिय हो चुके हैं और हमें H1 पर अच्छे कीड़े मिले हैं। वे हैकर्स को नए कीड़े देखने के लिए प्रोत्साहित करते हैं, हमारे सिस्टम को बेहतर बनाने और सुरक्षा में सुधार करने में हमारी मदद करते हैं। एक छोटा कार्ड - शानदार परिणाम। और सौ रुपये एक सौ रुपये हैं।