डेवलपर, याद रखें - आपके एप्लिकेशन का ट्रैफ़िक देखा जा रहा है

फिलहाल, कई प्रकार की कमजोरियां हैं जो डेवलपर्स को प्राथमिक रूप से पूरी तरह से भूल जाती हैं। दूसरे दिन, मैं नए WOG एप्लिकेशन (TOV "VOG RETAIL" - यूक्रेन में दूसरा सबसे बड़ा गैस स्टेशन नेटवर्क) को अधिकृत करने में कामयाब रहा। 2017 में, मुझे यूक्रेन के मोबाइल प्रदाताओं में से एक के आवेदन में बिल्कुल वही भेद्यता मिली (दूसरी सबसे बड़ी भी)। पहचान की स्थिति - एक नया अनुप्रयोग और जानवर बल के खिलाफ सुरक्षा की कमी।

ऐसा नहीं है कि कुछ समय पहले मुझे एक सूचना मिली - कंपनी ने एक नया एप्लिकेशन जारी किया और इसे स्थापित करने की पेशकश की। मुझे ईमानदारी से आवेदन की कार्यक्षमता पसंद है - उस खाते में बोनस देखना जिसके लिए आप ईंधन खरीद सकते हैं। बैंक कार्ड संलग्न करने और माल के लिए भुगतान करने की क्षमता या QR कोड द्वारा। प्रोफ़ाइल मेरा नाम और संपर्क विवरण, एक पूर्ण लेनदेन इतिहास - सामानों की सूची और खरीद के समय उनके मूल्य को प्रदर्शित करता है।

आवेदन में प्राधिकरण आसान हो गया है - अब आपको वफादारी कार्ड की संख्या दर्ज करने की आवश्यकता नहीं है, बस मोबाइल नंबर निर्दिष्ट करें। हालांकि, यहां तक ​​कि प्रवेश द्वार पर मुझे संदेह था कि कोई भी मेरा डेटा देख सकता है - मैं विशेष रूप से, 5 बार से अधिक, एक कोड दर्ज किया जो मुझे एसएमएस में मिला। क्यों? - क्योंकि पहले, एक मोबाइल ऑपरेटर के एक समान एप्लिकेशन में, मुझे एक भेद्यता मिली, जिसने सब्सक्राइबर के खाते के प्रबंधन के लिए पूर्ण पहुंच दी।

गलत कोड दर्ज करने पर, यह पता लगाना संभव था कि पाशविक बल के खिलाफ सुरक्षा सबसे अधिक संभावना नहीं है।

मैं सही था - एप्लिकेशन को कोई सुरक्षा नहीं है। आप किसी भी खाते को एक्सेस कर सकते हैं, और इसके अलावा, "अपने खाते को" हाईजैक कर सकते हैं - दूसरे नंबर से लिंक करें, अन्य लोगों के फंड खर्च करें।

मुझे यह धारणा मिली कि एप्लिकेशन डेवलपर्स पूरी तरह से भूल जाते हैं कि नेटवर्क ट्रैफ़िक को रोकना मुश्किल नहीं है, यहां तक ​​कि https के अनुरोध भी।

व्यक्तिगत रूप से, मैं फ़िडलर कार्यक्रम का उपयोग करता हूं - यह उपकरण प्रॉक्सी ट्रैफ़िक को संभव बनाता है, इसे देख सकता है या इसे बदल सकता है। Https अनुरोधों की सामग्री का उपयोग करने के लिए, प्रॉक्सी सेटिंग्स के अलावा, स्मार्टफोन के कनेक्शन गुणों में, आपको अतिरिक्त रूप से विश्वसनीय प्रमाण पत्र स्थापित करना होगा जो प्रोग्राम उत्पन्न करता है।

सबसे पहले, मैं एप्लिकेशन के डेवलपर्स के आत्मसम्मान से प्रसन्न था - एप्लिकेशन का उपयोग करने वाले एपीआई को thebestapp4ever .wog.ua डोमेन पर स्थित है। बस यूआरएल से गुजरने के बाद, मुझे पता चला कि IIS 7.5 और 1C: एंटरप्राइज़ 8 सर्वर पर रहते हैं, साथ ही हेडर से एक तस्वीर (शायद मैकिनारियम के प्रशंसकों ने एपीआई लिखा है?)।

प्राधिकरण योजना सरल है - एक एसएमएस भेजने के लिए एक "अनुरोध" के साथ एक अनुरोध एपीआई के तरीकों में से एक के लिए मक्खियों। और यहाँ पहली भेद्यता किसी सीमा का अभाव है। एक ही फोन नंबर पर, एक आईपी से आप जितने चाहें उतने एसएमएस "ऑर्डर" कर सकते हैं।

बाद में, कंपनी के निविदाओं में, मुझे जानकारी मिली कि वे प्रति माह 1,000,000 एसएमएस भेजने की योजना बनाते हैं (वे एक वर्ष के लिए इस पर ~ $ 98,000 खर्च करने के लिए तैयार हैं)। यह पता चला है कि भेद्यता कंपनी के प्रति दिन ~ $ 8,200 के नुकसान का कारण बन सकती है अगर 12 अनुरोध प्रति सेकंड भेजे जाते हैं।

यह ध्यान देने योग्य है कि सर्वर अनुरोधों को सही ढंग से संसाधित करने के लिए, बुनियादी प्राधिकरण की आवश्यकता है - यह उन सुरक्षा विधियों में से एक है जो डेवलपर्स ने उपयोग किया था। क्यों? यह स्पष्ट नहीं है - मुझे इससे कोई मतलब नहीं है - लॉगिन / पासवर्ड या आवश्यक http हेडर को इंटरसेप्ट करना कोई समस्या नहीं है।

उपयोगकर्ता द्वारा एसएमएस प्राप्त करने और आवेदन में कोड दर्ज करने के बाद, यह कोड की विश्वसनीयता को सत्यापित करने और टोकन प्राप्त करने के लिए एक अनुरोध भेजता है। अगली और सबसे महत्वपूर्ण भेद्यता यहाँ थी - जानवर बल के खिलाफ कोई सुरक्षा नहीं है। एक कोड का चयन, जिसमें 4 (!) अंक होते हैं, को अधिक समय की आवश्यकता नहीं होती है।

टोकन प्राप्त करने के बाद, आप अन्य एपीआई विधियों का उपयोग कर सकते हैं। जिनमें से एक लॉयल्टी कार्ड से पिन कोड को बदलना संभव बनाता है। प्रक्रिया मानक है - पुराने पिन दर्ज करें, एक नया दर्ज करें। मैं इस पद्धति पर ध्यान केंद्रित करना चाहता हूं, क्योंकि यहां डेवलपर ने बेकार "संरक्षण" की एक और विधि का उपयोग किया। स्वाभाविक रूप से, ब्रूट बल के खिलाफ कोई सुरक्षा नहीं थी, लेकिन पुराने पिन को छिपे हुए रूप में भेजा गया था। विचार अच्छा है - बस 0000-9999 संयोजनों के माध्यम से छंटनी विफल हो जाएगी। कार्यान्वयन खराब है - कोड के बजाय, एक md5 हैश भेजा जाता है। नमक प्रतिस्थापन या कुछ और के बिना।

ईमानदारी से, मुझे पता नहीं है कि आवेदन कोड का उपयोग कैसे किया जाए और क्या यह संभव है - इसलिए भी पुराना md5 मुझे रोक देगा अगर नमक का उपयोग किया गया था।

मैंने न केवल एक "विदेशी" खाते के लिए एक टोकन को बाध्य करने के लिए बल दिया, बल्कि इसे आवेदन में पर्ची करने के लिए भी प्रबंधित किया - मैंने नोड पर एक छोटी सी पटकथा लिखी है जो ट्रैफ़िक को प्रॉक्सी करता है और गेटकोक विधि के केवल प्रतिक्रियाओं को प्रतिस्थापित करता है।

यह लेख कंपनी के "डिपार्टमेंट के डिप्टी डायरेक्टर" के साथ बात करने के बाद लिखा गया था। लोगों ने तेज प्रतिक्रिया व्यक्त की - मैं 24 घंटे के भीतर संचार के लिए संपर्क प्राप्त करने में सक्षम था। मैंने कमजोरियों का विवरण और बग बाउंटी की उपस्थिति के बारे में एक सवाल भेजा।

जवाब में, मुझे जानकारी के साथ एक पत्र मिला कि उन्होंने मुझे कथित रूप से "स्पॉट" किया है - " हमने आपको (380958302 ---) तुरंत देखा और ताले ने काम किया ... मैंने सभी तालों के बारे में नहीं बताया, लेकिन उनमें से बहुत से कल दिखाई दिए "

मेरे लिए, यह ठंढ की तरह दिखता है - क्योंकि, मैंने इस पत्र का जवाब दिया, “ मजाक यह है कि यह संख्या मेरे लिए परिचित नहीं है। मैंने 095866 नंबरों पर परीक्षण किया ... "

WOG कंपनी के विपरीत, मोबाइल ऑपरेटर के सूचना सुरक्षा विभाग के प्रमुख बहुत अधिक बातूनी थे, और उन्होंने धन्यवाद के रूप में एक स्मार्टफोन फिट किया =)