🕺🏻 🔖 💃🏻 Kyivstar की कमजोरियाँ: 1) पासवर्ड के बारे में पिछले पोस्ट का विश्लेषण + 2) Kyivstar सेवाओं से गुजरने वाली खरीद के बारे में जानकारी 🛌 👨🏼‍🚀 🥩

नमस्कार। मैं वह हूं, जो छह महीने पहले इस तरह की महत्वपूर्ण सेवाओं से कीवस्टार लॉगिन और पासवर्ड प्राप्त करता है: जेआईआरए, अमेज़ॅन वेब सर्विसेज, ऐप्पल डेवलपर, गूगल डेवलपर, बिटबकेट और कई अन्य, ने बग बाउंटी पर उन्हें पंजीकृत किया और मेरे प्रकाशन के प्रतिनिधि पर ~~$ 50~~ विभिन्न टिप्पणियाँ प्राप्त कीं। ।

उदाहरण के लिए:

असल में, हैबर, 33 हजार विचार, 188 टिप्पणियाँ: कीवस्टार के बग बाउंटी: जीरा, एडब्ल्यूएस, एप्पल, Google डेवलपर, बिटबकेट सेवाओं के लिए व्यवस्थापक पहुंच के लिए इनाम - $ 50
एआईएनयूए, 12 हजार बार देखा गया: परीक्षक को कीवस्टार कॉर्पोरेट सेवाओं तक पहुंच प्राप्त हुई। उन्हें केवल $ 50 की पेशकश की गई थी
ITC.ua, 350 टिप्पणियाँ: Kyivstar ने कॉर्पोरेट सिस्टम के लिए पाए गए पासवर्ड के लिए उपयोगकर्ता को $ 50 की पेशकश की, वह असंतुष्ट था
Ebanoe.IT, 26 हजार बार देखा गया, 169 टिप्पणियां: हैकर को कीवस्टार सिस्टम में पाए जाने वाले भेद्यता के लिए $ 50 के एक हैंडआउट के साथ अटक गया था ।

आपके समर्थन और टिप्पणियों के लिए धन्यवाद! मतदान के परिणाम:

किसी कारण के लिए, मैंने तब कुछ टिप्पणियों का जवाब नहीं दिया था, लेकिन मैं अब जवाब नहीं दे सकता।

मुझे याद दिलाएं कि मुझे गलती से एक कीवस्टार कर्मचारी के काम करने वाले ब्राउज़र से बुकमार्क के साथ एक पत्र मिला था। मैंने सभी 113 बुकमार्क खोल लिए और उनमें से एक फ़ाइल को सेवाओं, लॉगिन और पासवर्ड और अन्य जानकारी के नाम के साथ पाया। हां, फ़ाइल "सभी" एक्सेस अधिकारों के साथ Google डॉक्स पर थी।

मुझे रिपोर्ट पर उनकी भविष्य की प्रतिक्रिया के बारे में चिंता थी, इसलिए

सबसे पहले, बगक्राउड में, मैंने घोषणा की कि वे तुरंत अपने पासवर्ड बदलते हैं। उन्होंने मुझे जवाब दिया कि वे हैबे पर एक पोस्ट से फाइलों को अनुक्रमित करने के बारे में जानते हैं और पहले से ही हर जगह ऐसी फाइलें बंद कर दी हैं।

मैंने संकेत दिया कि उन्होंने इसे बंद नहीं किया था, और यह दिखाते हुए स्क्रीनशॉट भेजे कि मैं उनके खातों में अनियमित रूप से लॉग इन करने में सक्षम था।

फिर मुझसे पूछा गया कि मुझे ऐसा डेटा कैसे मिला, और मैंने संकेत दिया कि कैसे (ई-मेल द्वारा प्राप्त)।

फिर उन्होंने पूछा कि मुझे इस तरह का ई-मेल कैसे मिल सकता है - और मैंने जवाब दिया कि मैं भाग्यशाली था, या सिर्फ एक कर्मचारी को सील कर दिया गया जब उसने खुद को बुकमार्क भेजे (और यह अंत में निकला)।

पत्राचार की प्रक्रिया में, मेरे सिग्नल को सर्वोच्च प्राथमिकता दी गई थी - P1 (सेंसिटिव डेटा एक्सपोज़र: क्रिटिकली सेंसिटिव डेटा - पासवर्ड डिस्क्लोजर), जिसमें भुगतान $ 1000 से $ 3000 (और आप मोबाइल + WEP ऐप्स भी जोड़ सकते हैं) कर रहे हैं।

अच्छा, तो आप जानते हैं।

जब मेरे सहकर्मी येगोर पापीशेव ने फेसबुक पर अपनी राय साझा की, तो यह सुनकर अप्रिय लगा कि एक अन्य सम्मानित व्यक्ति (व्लादिमीर स्टाइलन, सूचना सुरक्षा विशेषज्ञ - CISSP, CISA, OSCP, CEH) को स्थिति से कैसे निपटा गया, और उन्होंने येगोर को लिखा कि वह नहीं थे वह विवरण जानता है और स्थिति को समझ नहीं पाया है।

उसी समय, व्लादिमीर खुद स्थिति को समझ नहीं पाया। ये रहा उनका चौका देने वाला पोस्ट:

मैं पिछले कुछ बिंदुओं पर अनुवाद और टिप्पणी करूंगा:

यदि आप इस बात से अवगत नहीं हैं कि ब्रोकर का समर्थन, जिसके माध्यम से आपने बग के विक्रेता को सूचित किया था, तो आप भुगतान राशि को अपील करने में मदद कर सकते हैं, क्योंकि वास्तव में यह आपके त्रिपक्षीय संबंध में इसकी एक भूमिका है, इसे घटिया कहा जाता है। - मेरे साथ पत्राचार में सहायता बगक्रौड ने बार-बार मेरी राय और बहुमत की राय का समर्थन किया कि कीवस्टार गलत था और उसे अधिक भुगतान करना चाहिए था। "ब्रोकर" ऑपरेटर को प्रभावित नहीं कर सका। और यह मेरे लिए नहीं था जो गिर गया।
यदि आप भुगतान नहीं करने की स्थिति में पूर्ण प्रकटीकरण विक्रेता को धमकाना शुरू करते हैं, तो इसे जबरन वसूली या ब्लैकमेल कहा जाता है। लेकिन सबसे अधिक संभावना है कि इसे जबरन वसूली कहा जाएगा, क्योंकि ब्लैकमेल के लिए कोड में कोई लेख नहीं है। - कोई ब्लैकमेल और जबरन वसूली नहीं हुई। कोई खतरा नहीं थे। व्लादिमीर को इस बारे में पता होता अगर वह उस रिपोर्ट को पढ़ता। चारित्रिक रूप से, बुगक्रोड पर मेरा खाता अवरुद्ध हो गया था (यह डर नहीं है) हैबे पर पोस्ट के तुरंत बाद नहीं, लेकिन कहीं एक हफ्ते में, ठीक उसी समय जैसे एफबी में उनकी अन्य कास्टिक पोस्ट है।
यदि आपके पास बग नहीं है, तो आपने इसके बारे में Habré पर पढ़ा, आपने अपने फेसबुक पेज पर इसके बारे में बताया कि इसे N लाइक और + M फॉलोअर्स मिलते हैं, तो आप एक ब्लॉगर हैं और इसमें गर्व करने की कोई बात नहीं है। - जोड़ने के लिए कुछ भी नहीं है।

हालांकि, जैसा कि मैंने सीखा, व्लादिमीर ने कीवस्टार के बग बाउंटी के लॉन्च में भाग लिया, इसलिए मैं मानता हूं कि उसकी आंखें धुंधली हैं।

चलो आगे बढ़ते हैं। एक सरल उदाहरण: Apple डेवलपर, आपने मेरी पोस्ट में उनके कंसोल के स्क्रीनशॉट देखे।
पासवर्ड फ़ाइल में लाइनें और कॉलम भी थे, और विशेष रूप से Apple के लिए, निम्नलिखित संकेत दिया गया था: अंतिम संशोधित - 05/18/2016।

यानी पिछली बार मई 2016 में Apple डेवलपर खाते के डेटा को वापस संपादित किया गया था - इससे पहले कि मुझे पत्र प्राप्त हुए एक साल से अधिक हो गया और इसमें लिंक मिला। जो, फिर से, इस तथ्य से पुष्टि की जाती है कि मैं निर्दिष्ट पासवर्ड के साथ लॉग इन करने में सक्षम था।

इस प्रकार, कीवस्टार में व्यावसायिक प्रक्रियाओं की सुरक्षा के बारे में बोलते हुए, हम संक्षेप में बता सकते हैं:

इतना ही नहीं, Google डॉक्स बाहरी पब्लिक रिसोर्स पर उपयोगकर्ता नाम और पासवर्ड संग्रहीत किए गए (या संग्रहीत किए गए), सभी एक्सेस अधिकारों के साथ
न केवल आपको लॉग-इन करने के लिए दो-कारक प्रमाणीकरण की आवश्यकता होती है,
इतना ही नहीं कई पासवर्ड डिक्शनरी और सेलेक्ट करना आसान था और देखा (बदला हुआ) upsups92, suchapassword, DigitTeam2017, Digital2016, Kyivstardigteam2017, ks-anya $ bd2016, KSDigit2018,
इसलिए ये पासवर्ड एक वर्ष से अधिक समय तक नहीं बदले हैं।

और क्या। बहुतों को समझ में नहीं आया कि $ 5800 का इतना अजीब योग क्यों इंगित किया गया था, बिल्कुल 6000 डॉलर का क्यों नहीं, एक बार में एक मिलियन डॉलर का क्यों नहीं? - "उनकी राय में, केवल खातों का आधिकारिक मूल्य $ 5800 से अधिक है।"

इस सवाल का जवाब हैबेरा में शुरू से ही था, यह बस ध्यान नहीं दिया गया था:

(छवि को बड़ा करने के लिए, इसे एक नए टैब में खोलें)

यहां कुंजी " इसे एक नए टैब में खोलें " है - जब आप छवि ( प्रत्यक्ष लिंक ) पर क्लिक करते हैं, तो पूर्ण चित्र खुलता है, जहां अन्य कॉलम भी दिखाई देते हैं: अंतिम संशोधित, भुगतान तक (तिथि), आवश्यकता तक (तिथि), परियोजना (एएसयूपी के अनुसार), भुगतान का प्रकार, लागत, मुद्रा।

बस "लागत" कॉलम से संख्याओं को संक्षेप में, मुझे $ 5800 का एक आंकड़ा प्राप्त हुआ - यह सूचीबद्ध सेवाओं में खातों की लागत का आधिकारिक (और मेरे द्वारा आविष्कार नहीं किया गया) है, जिसे मैंने बगक्राउड पर रिपोर्ट में संकेत दिया था।

मैंने यह नहीं पूछा और इस राशि, या किसी अन्य की मांग नहीं की, जैसा कि सोल्तन ने झूठ बोला था, और न्यूनतम संभव नुकसान के साथ $ 50 के उनके संकेतित पारिश्रमिक की तुलना की - बस डाल दिया, जिसकी खरीद के लिए सेवाओं तक पहुंच के नुकसान के साथ उन्होंने $ 5800 खर्च किए।

अगला।

अगर किसी को दिलचस्पी है, तो बहुत समय पहले नहीं था कि Kyivstar के BugBounty प्रोग्राम को पूरी तरह से बंद कर दिया गया था (निजी मोड नहीं, अर्थात् बंद किया गया था), और सोल्तैन कर्मचारी जिन्होंने हाल ही में यहां टिप्पणी की, उन्होंने Kyivstar को छोड़ दिया।

वैसे, कंपनी छोड़ने के बारे में अपने विदाई नोट के तहत टिप्पणियों में, वह लिखते हैं "गुड लक, विटाली!" वह कर्मचारी जिसने उस बीमार ई-मेल को भेजा था। ऐसी बातें।

मैंने ऊपर पोस्ट की गई जानकारी को मूल पोस्ट पर एक छोटे से अपडेट के साथ जोड़ा। मैं इस बारे में ग्लोब नहीं कर रहा हूं। उन्होंने तब एक गलती की - शायद वे कीमत चुका रहे हैं।

पूछे जाने वाले टिप्पणियों में pyrk2142 :

यह काफी अप्रत्याशित है। यह पता चला है कि यहां की जानकारी अब प्रासंगिक नहीं है?

और अब मैं जवाब दे सकता हूं कि हां, कीवस्टार के बग बाउंटी पर जानकारी अप्रासंगिक है: मुझे कीवस्टार की भुगतान सेवाओं से गुजरने वाले लोगों की खरीद के बारे में जानकारी प्राप्त करने का अवसर मिला, भले ही वे इसके ग्राहक न हों। मैंने कंपनी को दूसरा मौका दिया - लेकिन उसने इसका इस्तेमाल नहीं किया ।

तो, खरीद के बारे में जानकारी Kyivstar सेवाओं के माध्यम से गुजर रहा है, यहां तक कि बाद के गैर-ग्राहकों के कार्ड पर भी।

एक कंपनी के आवेदन का परीक्षण करते समय, मैंने पाया कि कीवस्टार वीज़ा क्यूआर पेमेंट्स के साथ सहयोग के ढांचे में भुगतान प्रदाता के रूप में कार्य करता है - एमवीसा - क्यूआर कोड का उपयोग करके भुगतान qrpayments.kyivstar.ua के माध्यम से जाते हैं ।

ये बिक्री के बिंदुओं पर ग्राहक लेनदेन हैं जैसे:

क्रेमा कैफ, कीव,
स्मचनो, कीव,
तीसरी मंजिल कैफे, कीव - पहले और सबसे अधिक बार संचालन यहां थे। जाहिरा तौर पर, यह कीवस्टार कार्यालय में तीसरी मंजिल पर एक कैफे है, जहां उन्होंने क्यूआर भुगतान का परीक्षण शुरू किया है;
औचन, केव,
औचन, लविव,
Auchan, Dnipropetrovska - Auchan हाइपरमार्केट श्रृंखला (यूक्रेन);
mVisa व्यापारी;
GIVC, कीव - GIVC, मुख्य सूचना और कम्प्यूटिंग केंद्र, कीव। यहां, कीव के निवासियों के उपयोगिता भुगतान के बहुमत के लिए शुल्क और भुगतान;
जीईआरसी, ओडेसा - एचईआरजेड, सिटी यूनिफाइड सेटलमेंट सेंटर, ओडेसा। इसी तरह, जीआईडब्ल्यूसी अधिक है, केवल कवरेज और भी अधिक है: साइट न केवल ओडेसा की आबादी के लिए है, बल्कि ऐसे शहरों के लिए भी है: कीव, बेलगोरोड-डेनिस्टर, रेनी, चेर्नोमोर्स्क और यज़ी;
और आगे

प्राप्त आंकड़ों का एक उदाहरण:

{"Id":1305 Date:"2018-10-05T15:15:42.3921295" State:0 Amount:-1278.8100 TipsAmount:0.0000 Currency:"UAH" MerchantName:"Auchan" MerchantCity:"Lviv" MerchantId:"4109499405597549" ApprovalCode:"516634" ReferenceNumber:"" CardNumber:"5375XXXXXXXX3858"} {"Id":1308 Date:"2018-10-06T12:43:31.1179667" State:3 Amount:-4192.9700 TipsAmount:0.0000 Currency:"UAH" MerchantName:"Auchan" MerchantCity:"Kyev" MerchantId:"4109494835704666" ApprovalCode:"" ReferenceNumber:"827991150697" CardNumber:"4824XXXXXXXX6937"} {"Id":1702 Date:"2018-12-06T18:40:02.657213" State:3 Amount:-81.0000 TipsAmount:0.0000 Currency:"UAH" MerchantName:"GIVC" MerchantCity:"Kiev" MerchantId:"4109499632222754" ApprovalCode:"605231" ReferenceNumber:"834091189417" CardNumber:"5168XXXXXXXX9997"}

सेवा ने केवल सही "प्राधिकरण" और "मैप-ऑथोकेन" के साथ अनुरोधों का जवाब दिया, जिनमें से अंतिम में बेस 64 एन्कोडेड

{"alg":"RS256","kid":"33E283272B0433E283281FF404CA6F031E28320","typ":"JWT"}{"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/mobilephone":"0800300466", "http://schemas.lime-systems.com/identity/claims/authId":"1199333", "http://schemas.lime-systems.com/identity/claims/userId":"25046", "http://schemas.lime-systems.com/identity/claims/deviceId":"12342", "nbf":1541370000, "exp":1541380001, "iat":1541390001, "iss":"http://localhost", "aud":"http://localhost"}

और अन्य डेटा।

लेकिन ऊपर-नीचे निर्दिष्ट सही मापदंडों के अनुरोध की आवश्यकता के बावजूद, एक बार मैप-ऑर्टोकैन प्राप्त करने के बाद, फिर फॉर्म के पते पर GET अनुरोधों को निष्पादित करना संभव था https://qrpayments.kyivstar.ua/map/api-consumers/ ।

और हालांकि लॉन्च के बाद की अवधि में, 16 अप्रैल, 2018, इतने सारे ऑपरेशन नहीं किए गए थे (~ 2000 पीसी।) और स्वयं प्राप्त डेटा महत्वपूर्ण नहीं हैं, यह स्थिति चिंताजनक है:
भले ही आप Kyivstar का उपयोग नहीं करते हैं, लेकिन बस एक बी बैंक कार्ड के साथ एक ~~uchan~~ स्टोर पर भुगतान करते हैं, हैकर्स K C प्रदाता को क्रैक कर सकते हैं और आपके बारे में जानकारी प्राप्त कर सकते हैं।

भुगतान कार्ड के क्षेत्र में, ऐसी स्थिति है जो विवरण के लिए उपयुक्त है: समझौता का एक बिंदु - यह एक टर्मिनल, एक एटीएम, एक व्यापारिक कंपनी, एक परिचित, एक प्रसंस्करण केंद्र हो सकता है, जिसके माध्यम से विभिन्न ग्राहकों के विभिन्न कार्डों की चोरी होती है।

स्थिति को इस मोबाइल ऑपरेटर में स्थानांतरित करना: एक सेवा को हैक करना, आप कई से जानकारी प्राप्त कर सकते हैं।

इस सामग्री को प्रकाशित करने से पहले, मैंने कीवस्टार को एक दूसरा मौका दिया - मैंने bounty@kyivstar.net को तीन पत्र भेजे, जो उनके विशेष पृष्ठ पर इंगित किया गया है: 17 दिसंबर, 20 दिसंबर और 27 दिसंबर, सभी कार्य दिवस।

भेजे गए पासवर्ड वाले स्थिति में निर्दिष्ट नहीं किए गए बॉक्स से, बस भेजा गया। पत्र प्राप्त हुए, लेकिन कोई प्रतिक्रिया नहीं, एक स्वचालित उत्तर भी नहीं मिला।

जैसा कि आप समझते हैं, भेद्यता को कवर नहीं किया गया है, इसलिए मैं अधिक विवरण प्रदान नहीं कर सकता। हालांकि, सब कुछ स्पष्ट है।

More articles: