बैगुन्टर एर्टोम मॉस्को के साथ साक्षात्कार। उन्होंने स्टीम हैक किया और वाल्व इतिहास में सबसे बड़ा पुरस्कार प्राप्त किया।

एरीटॉम मोस्कोवस्की एक बैगनटर, पंचर और सुरक्षा आदमी है जो तुरंत शर्मनाक सवाल पूछना चाहता है "आप कितना कमाते हैं?" पिछले साल, उन्हें वॉल्व इतिहास में सबसे बड़ा इनाम मिला - स्टीम पर दो प्रमुख कमजोरियों के लिए $ 20 हजार और $ 25 हजार और छोटे कीड़े के लिए $ 10 हजार।

हमने कई दिनों तक पत्राचार किया, और आर्टेम ने बताया कि कैसे वह अपना काम करना शुरू कर देता है, इसके लिए क्या कौशल की आवश्यकता होती है, और क्या वह इस तरह की प्रतिभा के साथ अंधेरे की ओर खींचता है।

---

2006 में, जब मैं 9 साल का था, तो मेरे पास पहला पीसी था, और मैंने अनजाने में फैसला किया कि मैं आईटी में घूमता रहूंगा। 10 वीं कक्षा तक वह प्रोग्रामिंग की ओर उन्मुख था। सूचना क्षेत्र में पहली सफलता मिलने के बाद, मैंने तय किया कि सुरक्षा अधिक दिलचस्प है।

यह एक प्रतिबंध के साथ शुरू हुआ: खेल जेडी अकादमी में कबीले के लिए एक साइट बनाना आवश्यक था। फिर चुनाव अच्छे पुराने कॉज़ोज़ पर गिर गया, लेकिन "वेबसाइटों को अच्छा बनाने" का विचार बना रहा। मैंने PHP "विशेषज्ञ" पाठ्यक्रमों को देखा। उसी समय, यह एंटीचैट और अन्य विषयगत मंचों पर लटका दिया, ठेठ कमजोरियों पर लेख पढ़ा। यह सिर्फ दिलचस्प था।

वर्षों बीत गए, और मैं अभी भी खुद की तलाश में था और इसने मुझे विज्ञापन के लिए प्रेरित किया। तब मैंने यातायात को मध्यस्थ बनाने के लिए एक बड़े विज्ञापन नेटवर्क का उपयोग किया। खैर, जैसा कि मैंने इसका इस्तेमाल किया, मैंने दुख की बात है कि आंकड़ों को अपडेट किया और लीड की कमी से हतोत्साहित किया गया। जैसा कि मुझे अब याद है, मेरी नज़र आँकड़ों के अनुरोध में तारीख के मापदंडों पर टिक गई। उंगलियों के कुछ सुंदर आंदोलनों, और ब्राउज़र विंडो में एक मोडल विंडो दिखाई देती है - यह एक्सएसएस था। मैंने समर्थन में लिखा था, और एक घंटे के बाद साइट पर मेरा संतुलन पहले से ही $ 300 दिखा रहा था। फिर 10 वीं कक्षा में, पहला "गंभीर" पैसा कमाया, मैंने सोचा - हाँ, यह मेरा विषय है। अगले महीने प्रेरणा के इस आरोप पर, मैंने साइटों को विज्ञापन नेटवर्क को सुरक्षित बनाने में मदद करते हुए दस गुना अधिक किया।

अब मैं ओडेसा में रहता हूं, ओडेसा पॉलिटेक्निक यूनिवर्सिटी में पढ़ रहा हूं, कंप्यूटर साइंस में पढ़ाई कर रहा हूं। लेकिन इंटरनेट पर मेरी गतिविधियाँ किसी विश्वविद्यालय से जुड़ी नहीं होनी चाहिए। उन्होंने विशेष रूप से इसे प्रभावित नहीं किया। लगभग तीन वर्षों से मैं पूर्णकालिक रूप में एक पेंटर के रूप में काम कर रहा हूं। लेकिन एक अच्छे जीवन के लिए, बैगहंटिंग पर्याप्त होगा।

- तब आपने अपनी शीतलता से छत को नहीं फाड़ा? जैसे चुदाई, काम, मैं यह करूँगा

- यह निराश नहीं हुआ, लेकिन एक निश्चित बदलाव हुआ। सिस्टम से स्वतंत्र महसूस किया।

- आप पढ़ाई और काम करने क्यों गए? यह एक प्रणाली है, और विशेष रूप से प्रभावी नहीं है।

- यह व्यवस्था का हिस्सा होना एक बात है, इस पर निर्भर रहना दूसरी बात है। विश्वविद्यालय और काम समान विचारधारा वाले लोगों और दोस्तों को खोजने का एक आसान तरीका है।

पूरे समय मैं सप्ताह में चार दिन काम करता हूं। मैं कमजोरियों की तलाश तभी करता हूं जब कोई मूड होता है, इसलिए यह अस्थिर हो जाता है। लेकिन अगर आप एक साल के लिए गिनती करते हैं, तो कीड़े पर कई गुना अधिक कमाने के लिए निकलता है।

- क्या आप अपनी कहानियों के बाद ऑफर के साथ सो जाते हैं?

हां, ऑफर आते हैं। उत्तरार्द्ध अनुप्रयोग सुरक्षा विशेषज्ञ की स्थिति के लिए एक अच्छी अंतरराष्ट्रीय कंपनी में था।

2018 में, आर्टेम को स्टीम पर एक भेद्यता मिली। उन्होंने भागीदारों के लिए पेज पर डेटाबेस में एसक्यूएल इंजेक्शन का इस्तेमाल किया और किसी भी गेम के लिए कुंजी डाउनलोड करने का अवसर पाया।

उन्होंने यहां की प्रक्रिया के बारे में विस्तार से लिखा।

“गेम पोर्टल 2 के लिए 36,000 कुंजियों के साथ एक फ़ाइल तैयार की गई थी। वाह।
केवल एक सेट में इस संख्या की कुंजी थी। और पल में सभी सेट 430,000 से अधिक। इस प्रकार, कीड के मानों को छाँटकर, एक संभावित हमलावर स्टीम गेम डेवलपर्स द्वारा उत्पन्न सभी कुंजियों को डाउनलोड कर सकता है »

"5 घंटे के बाद, भेद्यता तय कर दी गई थी, लेकिन 8 घंटे के बाद त्रिकोणीय स्थिति को स्वीकार किया गया था और, लानत है, मेरे लिए यह 3 घंटे बहुत मुश्किल था, जिसके लिए मेरा मस्तिष्क इनकार से स्वीकृति तक के चरणों से बचने में कामयाब रहा।

चूँकि भेद्यता को निर्दिष्ट नहीं किया गया था, मेरा मानना ​​था कि लाइन अभी तक मेरी रिपोर्ट तक नहीं पहुँची है। लेकिन उन्होंने बग तय किया, जिसका अर्थ है कि वे मेरे सामने इसे पंजीकृत कर सकते थे।

अब, यदि आप वाल्व की कमजोरियों के लिए सभी पैसे गिनते हैं, तो आपको 55 हजार मिलेंगे। मैं कुछ निवेश करना चाहता हूं, लेकिन अभी तक तय नहीं किया है।

"अपने व्यवसाय को कॉल करने के लिए सही चीज़ क्या है?"

Baghanting। समस्याएँ तब आती हैं जब आप गैर-आईटी लोगों को यह समझाने की कोशिश करते हैं कि आप क्या कर रहे हैं। हैकर शब्द उनके सबसे करीब है। मैं ऐसा कहने में सहज नहीं हूं, क्योंकि, मेरे दिमाग में, इस शब्द का उपयोग स्कूली बच्चों द्वारा किया गया था, जिन्होंने आपके वीके को तोड़ने या आईपी द्वारा गणना करने की धमकी दी थी। इसलिए, मेरा सामान्य उत्तर, "ठीक है, एक हैकर की तरह," फर्श पर एक अजीब नज़र के साथ है।

- इसके लिए किस तरह के कौशल की आवश्यकता है?

यह समझने में कि चीजें कैसे काम करती हैं। पिछले एक के परिणाम की समझ होगी कि उनके कार्यान्वयन में क्या कमजोरियां हो सकती हैं। मुझे बैगहंटिंग में पसंद है कि मुझे विभिन्न तकनीकों से निपटना है। यह वास्तव में चौड़ाई में आपके क्षितिज का विस्तार करता है। थोड़ी देर के बाद, अनुभव, अंतर्ज्ञान प्रकट होता है, और आप पहले से ही अपने सिर मॉडल में अध्ययन के तहत आवेदन के लिए धमकी देते हैं।

लगभग हमेशा मैं पायथन का उपयोग करता हूं क्योंकि यह हल्का और सुंदर है। लेकिन अगर आपको वेब पर किसी प्रकार के आउटपुट की आवश्यकता है, तो मैं PHP का सहारा लेता हूं। अब, उदाहरण के लिए, मैं कुछ खुफिया कार्यों को स्वचालित कर रहा हूं। वेब इंटरफ़ेस PHP में स्थानीय रूप से चलता है - आउटपुट और कार्य प्रबंधन, और कार्य स्वयं पायथन "एजेंटों" को भेजे जाते हैं, जो कि VDSocs के एक जोड़े पर होस्ट किए जाते हैं।

कभी-कभी, जब मैं जल्दबाजी में कुछ लिखता हूं और सुरक्षा नहीं, तो मैं इस "उत्पाद" में इंजेक्शन लगाने का जोखिम उठा सकता हूं, लेकिन यह कोई अधिक लाड़ नहीं है।

- क्या आप लंबे समय तक एक लक्ष्य चुनते हैं?

मैं अपने आप का उपयोग करने में कमजोरियों को देखना पसंद करता हूं। किसी तरह की चुनौती महसूस होती है, प्रेरणा दिखाई देती है। कभी-कभी आप यह भी जानते हैं कि वे आपको इसके लिए भुगतान नहीं करते हैं, हो सकता है कि वे भी इसका जवाब न दें, लेकिन यह सिर्फ दिलचस्प है।

यदि आप X1 पर एक सार्वजनिक कार्यक्रम चुनते हैं जो कई वर्षों से बग्स के लिए भुगतान कर रहा है, तो आपको खोज क्षेत्र में XSS पर भरोसा नहीं करना चाहिए। या तो गहराई में जाएं, जहां बहुमत नहीं पहुंचता है, या एक वेक्टर के साथ आता है जो बहुमत ने नहीं सोचा था।

वाल्व स्टोरी से पहले, आर्टेम ने बताया कि कैसे उन्होंने क्रिप्टोक्यूरेंसी के संयुक्त खनन के लिए पूल में से एक में भेद्यता पाई - बस एक समय में जब हर कोई ब्लॉकचेन पर पागल था और बिटकॉइन की वृद्धि थी।

उन्होंने द्वि-कारक पहचान को दरकिनार करने और आवेदन में किसी भी खाते को अपने कब्जे में लेने का एक तरीका पाया। रिपोर्ट के लिए, आर्टेम को एक बिटकॉइन दिया गया था - उस समय $ 18,000। यह सोचने के लिए कि अब आर्टेम की लागत कितनी है, शायद हम में से अधिकांश की तुलना में अधिक दर्दनाक है।

अपडेट किया गया: यहां एक बड़ी और महंगी कंपनी की कहानी के साथ एक पैराग्राफ था। इसे हटाया जाना था, क्योंकि सभी बड़ी और महंगी कंपनियां कमजोरियों की ओर इशारा करते हुए आभारी नहीं हैं।

- क्या डीप हार्ड दिए जाते हैं?

मैं इसे असफलता नहीं कहूंगा। असफलता तब होती है जब आप एक लक्ष्य निर्धारित करते हैं: यहां मैं उबेर पर जाता हूं और आरसीई को पाता हूं, वे स्टोमिलीन का भुगतान करते हैं। मेरी राय में, सही लक्ष्य कंपनी के बुनियादी ढांचे को समझने के लिए है, वेब एप्लिकेशन की कार्यक्षमता को समझने के लिए कि इसके हिस्से एक-दूसरे के साथ कैसे बातचीत करते हैं, और विभिन्न मामलों की जांच करते हैं। यह पूरी तरह से संभव कार्य है, जो आपके प्रभाव क्षेत्र में है। भेद्यता की उपस्थिति पहले से ही इस क्षेत्र के बाहर है, इसलिए, इस तरह के लक्ष्य को स्थापित करना, सबसे पहले, खुद का मजाक उड़ाना है।

अगर मुझे लगता है कि मुझे नहीं पता कि आगे कहां जाना है, तो आमतौर पर मैं खुद को विचलित होने, आराम करने के लिए कुछ दिन देता हूं। और फिर या तो नए विचारों के साथ लौटते हैं, या किसी अन्य लक्ष्य की ओर बढ़ते हैं। वैसे, यह केवल एक मूड होने पर बग की तलाश के लायक है, अपने आप को मजबूर करना प्रभावी नहीं है। साथ ही साथ बाकी सब चीजों में भी।

- क्या आपको लगता है कि अधिक प्रभावी, तकनीकी या सामाजिक तरीके हैं?

किस लिए देख रहा है। बागुंटर्स को सामाजिक सेवाओं के लिए भुगतान नहीं किया जाता है, शायद दंडित भी किया जाता है। वास्तविक हमलों में, दोनों का उपयोग किया जाता है।

- एक अच्छे सुरक्षा गार्ड के पास हैकिंग का अनुभव होना चाहिए?

खैर, अगर एक हैकर अनुभव 2 साल सशर्त नहीं है, लेकिन इंजेक्शन को कम करने और एक्सएसएस खोजने की क्षमता है, तो हाँ। अच्छा, मुझे लगता है कि यह करना चाहिए।

- आपका काम एक ऐसी चीज है, जहां यह काम किया है या नहीं। या यह गुणात्मक और खराब तरीके से किया जा सकता है?

- यदि आप का अर्थ है, तो आप इसे गुणात्मक रूप से कर सकते हैं, लेकिन आप नहीं कर सकते। मापदंड स्थिति पर निर्भर करते हैं: रिपोर्ट के डिजाइन और सिफारिशों की पूर्णता से लेकर कमजोरियों की संख्या और उनकी आलोचनात्मकता तक।

- क्या आप दुश्मनों या सहयोगियों के रूप में सुरक्षा का अनुभव करते हैं?

- इस तरह। मैं खुद को एक सुरक्षित मानता हूं।

- क्या आप पारंपरिक डेवलपर्स से बेहतर महसूस करते हैं?

डेवलपर्स अलग हैं। मैं निश्चित रूप से उन लोगों के लिए बेहतर महसूस करता हूं जो SQL क्वेरी के साथ उपयोगकर्ता इनपुट को बदलते हैं। और अगर हम पूरे क्षेत्र को लेते हैं, तो यह कहना मुश्किल है, क्योंकि मैं एक तरह से या दोनों में एक अभिनेता हूं।

समय-समय पर, मेरे दिमाग में सूचना सुरक्षा के क्षेत्र में अपनी खुद की दिलचस्प सेवाओं और उपकरणों को बनाने और विकसित करने के बारे में विचार आते हैं। इसलिए, अक्सर मैं "बनाने" की प्रक्रिया में हूँ। अब तक, सब कुछ अपने लिए है, लेकिन शायद दुनिया मेरी रचनाओं को देखेगी।

अगर दुनिया काल्पनिक रूप से मेल खाती है और सुरक्षा की जरूरत नहीं है तो मैं क्या करूंगा? मैं Uber और YandexTaxi में काम के बीच चयन करूंगा।

लेकिन गंभीरता से, मेरे कौशल एक औसत प्रोग्रामर के रूप में काम करने के लिए पर्याप्त होंगे। सामान्य तौर पर, मुझे आईटी में नौकरी पाने की कठिनाई नहीं दिखती है, यदि आपके पास पहले से ही कुछ प्रकार के क्षितिज हैं, तो आप बस अपने ज्ञान को और अधिक दिलचस्प बनाते हैं।

- यदि आप अब हैकर / बैगनर ट्रेनिंग प्रोग्राम लिख रहे हैं, तो कौन से विषय होंगे?

प्रोग्रामिंग। अंग्रेजी - अंग्रेजी में सभी प्रासंगिक जानकारी। साहित्य - X1 से रिपोर्ट पढ़ना। गुमनामी। शारीरिक शिक्षा - यदि गुमनामी के साथ खराब हो तो पेटेंट के मामले में। सही - अगर शारीरिक शिक्षा के साथ बुरा हो।

- मैंने टिप्पणियों में देखा कि आपसे पूछा गया कि आप अंधेरे की तरफ क्यों नहीं जा रहे हैं। यदि आप इसे हंसी नहीं करते हैं, तो वास्तव में - क्यों?

शांतिपूर्ण नींद और आंतरिक सद्भाव किसी भी पैसे से अधिक महत्वपूर्ण हैं।

"यदि आप पार कर गए, तो क्या आप एक अच्छे अपराधी होंगे?"

हां, मैं इसे अमीरों से लेता और गरीबों को देता। अगर मैं कभी गर्म हो जाता हूं, तो सबसे अधिक संभावना है कि मैं बस असफल रहा हूं और गुमनाम रूप से किसी कंपनी को बग की सूचना नहीं दी है जिसमें आधिकारिक बग बाउंटी नहीं है और बाहरी मदद के लिए अच्छी प्रतिक्रिया नहीं देता है। ठीक है, अगर मैं एक अच्छा अपराधी हूं, तो आपको इसके बारे में नहीं पता होगा।