इसी तरह के डेटा लीक के लिए हमने कैसे सर्च किया

शुभ दिन।

यह सब आधे साल पहले शुरू हुआ था। हम एक परियोजना पर एक छोटी टीम के रूप में काम कर रहे हैं, परियोजना पहले ही नेटवर्क पर शुरू की गई है और यह कई महीनों से सफलतापूर्वक काम कर रही है। किसी तरह मैंने यात्रा आँकड़े, उपयोगकर्ता रेफरल स्रोतों और इसी तरह के बारे में बात करना शुरू कर दिया। प्रबंधकों ने मुझे हमारे संसाधन के साथ इसी तरह के पेज पर एक लिंक भेजा। मैंने जो देखा वह मुझे बहुत हैरान कर गया। अन्य जानकारी के अलावा, इस पृष्ठ में उप-डोमेन के बारे में जानकारी है जो इसी तरह की मिली। मेरे आश्चर्य की कल्पना करें जब मैंने शीर्ष 5 उप डोमेन आंतरिक लोगों में देखा जो केवल कर्मचारियों द्वारा उपयोग किए जाते हैं और बाहर से पहुंच योग्य नहीं हैं (जैसे कि jira.mycomp.org, ci.mycomp.org, git.mycomp.org)।

केवल एक ही बात दिमाग में आई: टीम के किसी व्यक्ति को किसी प्रकार की घबराहट थी जो विज़िट किए गए URL द्वारा डेटा को मर्ज कर देता था। टीम का हिस्सा दूर से काम करता है, सभी में अलग-अलग ऑपरेटिंग सिस्टम और ब्राउज़र हैं। उन्होंने प्रत्येक व्यक्ति के साथ बात की, एंटीवायरस के साथ सिस्टम को स्कैन करने के लिए कहा, उपयोग किए गए एक्सटेंशन की एक सूची का अनुरोध किया।

Google ने इसी तरह के स्टाइलिश एक्सटेंशन की खरीद के बारे में कई लेख पोस्ट किए हैं। मैंने इस एप्लिकेशन को अपने पास रखा और सुनिश्चित किया कि यह वास्तव में डेटा को मर्ज करता है। यह कैसे काम करता है: एक्सटेंशन स्थापित करते समय, आप डेटा संग्रह की शर्तों से सहमत होते हैं (और इस समय एप्लिकेशन स्टोर में है और इस तथ्य को छिपाता नहीं है कि डेटा इसी तरह के लिए एकत्र किया जाएगा)। इसके अलावा, किसी भी पृष्ठ पर (यहां तक ​​कि https पर) जाने पर, पृष्ठभूमि में एक्सटेंशन url h___s: //userstylesapi.com/tic/stats पर डेटा भेजना शुरू कर देता है। यह इस तरह दिखता है:



FormData में ई पैरामीटर में बेस 64 में डेटा डबल-लिपटे हैं:

ZG0xMFBUTW1iR0YyUFRJeEpuZDJQVEVtWjNJOU1pNHdMamttY0hobFBURm5aamhwTjJnNU5qVTVOekZ4ZERob05tTTVhamc0T0hCME5DWnpiblU5Sm1kd1BXaDBkSEJ6SlROQkpUSkdKVEpHZFhObGNuTjBlV3hsY3k1dmNtY2xNa1p6ZEhsc1pYTWxNa1ppY205M2MyVWxNa1p1WlhkbGMzUXRjM1I1YkdWekptTm9QVGttWkdrOVlUTmxNMlV5WVRneA== vmt=3&lav=21&wv=1&gr=2.0.9&pxe=1gf8i7h965971qt8h6c9j888pt4&snu=&gp=https%3A%2F%2Fuserstyles.org%2Fstyles%2Fbrowse%2Fnewest-styles&ch=9&di=a3e3e2a81 

इस प्रकार, प्रत्येक क्लिक के साथ, जानकारी विज़िट किए गए URL पर प्रसारित की जाती है।

उन्होंने काम करने वाले और घरेलू कंप्यूटरों को साफ किया, उन लोगों से विस्तार को हटा दिया जिनके पास यह था और भविष्य के निर्देशों में लिखा था। जो कुछ भी था वह इंतजार करना था। इसी तरह के डेटा को एक महीने के भीतर अपडेट किया जाता है।

हालांकि, दो महीने बीत गए, और स्थिति नहीं बदली। डोमेन संसाधन सूची पर लटका रहा। इसलिए सभी को साफ नहीं किया गया। हमने दूसरे तरीके से "स्कैमर" की गणना करने का निर्णय लिया। टीम के प्रत्येक सदस्य के लिए, एक विशेष URL बनाया गया था जो इस तरह दिखता था: coder-124.mycomp.ru, coder-523.mycomp.ru, आदि। उन्होंने प्रतिदिन इस URL पर जाने और कुछ क्लिक करने का कार्य दिया, इस प्रक्रिया की निगरानी की गई ताकि कोई भूल न जाए। डेवलपर्स को धमकाने के एक महीने के बाद, हमें अभी भी फल मिला है। URL में से एक सूची के बहुत नीचे था। लक्ष्य पाया जाता है, यह समझना रहता है कि डेटा कैसे मर्ज किया जाता है।

परिणाम आश्चर्यजनक था, क्रोम एक्सटेंशन ने डेटा डाला ... लेकिन स्टाइलिश नहीं ... जैसा कि यह निकला, फ्रिगेट एक्सटेंशन ने डेटा डाला । स्थापित होने पर, एक्सटेंशन निम्न संदेश प्रदर्शित करता है:



मान लीजिए ... अगला, हमने देखा कि यह इस डेटा को कैसे प्रसारित करता है:




जब आप दो URL वाले किसी भी पृष्ठ पर जाते हैं (मुझे आश्चर्य है कि दो क्यों), तो निम्न डेटा भेजा जाता है:



FormData में ई पैरामीटर में बेस 64 में डेटा डबल-लिपटे हैं:

 Y3oweE9ERTBKbTFrUFRJeEpuQnBaRDFzWW5keE1FeHBTVW8xZFhFeWFEY21jMlZ6Y3owMU56TXpNVFl6TWpVeU1EazJOemd3TURBbWMzVmlQV05vY205dFpTWnhQV2gwZEhCekpUTkJMeTltY21rdFoyRjBaUzV2Y21jdmNuVXZKbWh5WldabGNtVnlQV2gwZEhCekpUTkJMeTkzZDNjdVoyOXZaMnhsTG5KMUx5WndjbVYyUFdoMGRIQnpKVE5CTHk5bWNta3RaMkYwWlM1dmNtY3ZjblV2Sm5SdGRqMDBNREUxSm5SdFpqMHhMakU9 s=1814&md=21&pid=lbwq0LiIJ5uq2h7&sess=573316325209678000&sub=chrome&q=https%3A//fri-gate.org/ru/&hreferer=https%3A//www.google.ru/&prev=https%3A//fri-gate.org/ru/&tmv=4015&tmf=1.1 

मुझे नहीं लगता कि प्रॉक्सी सर्वर का चयन करने के लिए यह सभी डेटा आवश्यक है। और तंत्र बहुत समान हैं।

वैसे, फ्रैगेट लाइट एक्सटेंशन में ऐसी कोई कार्यक्षमता नहीं है ...

एक निष्कर्ष के बजाय।

मैं मान सकता हूं कि यदि दूसरा विस्तार पाया जाता है, तो एक तीसरा और एक चौथा होगा। सबसे अधिक संभावना है, इसी तरह के ब्राउब एक्सटेंशन के डेवलपर्स और डेवलपर्स के बीच सहयोग का यह तरीका और विकसित होगा। मैं आपसे अपने एक्सटेंशन (क्रोम, फ़ायरफ़ॉक्स - यह महत्वपूर्ण नहीं है) की जांच करने का आग्रह करता हूं और अगर आपको ऐसा कुछ मिलता है, तो टिप्पणियों में लिखें। यह जानना दिलचस्प है कि समस्या कितनी गहरी है।

और याद रखो, बड़ा भाई हमेशा तुम्हें देखता है :)

ऑल द बेस्ट।