यहां तक ​​कि प्रसिद्ध संगठनों के वेब संसाधन भी बच्चों की गलतियों से सुरक्षित नहीं हैं।

अस्वीकरण। सभी कार्यक्रम 2017 में हुए। लेख में निर्दिष्ट सभी कमजोरियों को कंपनी प्रतिनिधियों को जल्द से जल्द खोजा गया था। 2019 के लिए कुछ संसाधन, पूरी तरह से अपडेट किए गए हैं (फ्रंटएंड और बैकएंड)।
लेख विशुद्ध रूप से सूचनात्मक और प्रकृति में शैक्षिक है।

पुराने फ़ोल्डरों के माध्यम से भागते हुए, मैं उन सहेजे गए स्क्रीनशॉट्स पर आया, जिन्हें मैंने अपने वित्तीय-आईटी बाजार में कुख्यात कंपनियों के एक जोड़े के प्रतिनिधियों के लिए बनाया था।
यह सब इस तथ्य के साथ शुरू हुआ कि मैंने अपने काम की प्रोफ़ाइल बदलने का फैसला किया और खुद को क्यूए या संबंधित पेशे में आज़माया, लेकिन स्व-सिखाया कुंवारे के रूप में नहीं, बल्कि कुछ बड़े संगठन के कर्मचारियों पर ऐसा करने के लिए, ताकि मुझे किसी से सीखना हो, एक टीम के रूप में काम करना ...

फिर से शुरू करने के बाद, Sberbank Technologies, Bank of Discovery, जिसके बारे में एक छोटी सी कहानी जाएगी, मेरे साथ पार कर जाएगी।

चैट के निमंत्रण के बाद, मैंने यह देखने का फैसला किया कि दिलचस्प कमजोरियों के लिए कंपनियों के डोमेन पर क्या रहता है। वार्ता में आस्तीन में तुरुप का इक्का होना हमेशा अच्छा होता है।

बचत बैंक

सर्बैंक मुख्य रूप से रूस के साथ जुड़ा हुआ है, लेकिन इसकी अन्य देशों में शाखाएं हैं। इसलिए, मैंने "सरल" रास्ता अपनाने का फैसला किया। लगभग दो प्रयासों के बाद, दो निष्क्रिय XSS भेद्यताएं बेलारूसी सर्बैंक के वेब इंटरफेस में पाई गईं।

बच्चों की पहली गलती उपयोगकर्ता से आने वाले डेटा की जांच करना नहीं है। परिणामस्वरूप, खोज फ़ील्ड में क्रॉस-साइट स्क्रिप्टिंग और Sberbank Online के लिए लॉगिन फ़ॉर्म।





Sberbank Online लॉगिन फ़ॉर्म पर एक अलग बिंदु यह है कि यद्यपि फ़ॉर्म POST के माध्यम से संचरित मूल्यों, वेब सर्वर पर स्क्रिप्ट सफलतापूर्वक मेरे GET अनुरोध को संसाधित करता है।

मैंने उस डोमेन को देखने का भी फैसला किया, जिससे एचआर सेर्बैंक ने मुझे लिखा था। यह पोर्टल "Sberbank Talents" निकला।

अलग-अलग रूपों और छिपे हुए क्षेत्रों को पीड़ा देने के बाद, मुझे कुछ भी अच्छा नहीं मिला, सिवाय इसके कि पोर्टल ASP.NET पर घूम रहा है।

एक बार फिर मुख्य HTML पेज के स्रोत की समीक्षा करने के बाद, मैंने देखा कि सभी JS और CSS फाइलें एक स्क्रिप्ट के माध्यम से दी जाती हैं जो GET अनुरोध में निर्दिष्ट फ़ाइलों को जोड़ती और संपीड़ित करती हैं।

दूसरी बच्चों की गलती उन फाइलों / निर्देशिकाओं की सूची को सीमित करना नहीं है जिन्हें सर्वर से सफेद सूची में डाउनलोड किया जा सकता है।





नतीजतन, मुझे वेब सर्वर कॉन्फ़िगरेशन फ़ाइल तक पहुंच मिली। और यह भी, एक अधिक दिलचस्प लॉग फ़ाइल के लिए, जहां एसक्यूएल और अन्य सेवाओं के पासवर्ड दोनों को इंगित किया गया था, साथ ही सामाजिक नेटवर्क पर प्रकाशन के लिए वर्तमान एपीआई टोकन।

खोज

यहां, मैंने मुख्य पोर्टल पर समय बर्बाद नहीं करने का भी फैसला किया, लेकिन तुरंत यह देखने के लिए कि मेरे कौन से वेब संसाधन बैंक लिंक कर रहा है। "ऑर्कट्री बैंक का कैरियर पोर्टल" एक विषय बन गया, जिसमें सेर्बैंक के साथ एक यादृच्छिक सादृश्य था।

यह पता चला कि पोर्टल सीएमएस बिट्रिक्स पर चलता है। एक नियम के रूप में, बड़े वाणिज्यिक इंजन या ओपन सोर्स इंजन में बच्चे की त्रुटियां नहीं होती हैं, लेकिन ...

ठीक है, Google, Bitrix व्यवस्थापक पैनल का उपयोग कैसे करें?

तीसरे बच्चों की गलती सर्वर पर डायरेक्टरी लिस्टिंग को बंद करने की नहीं है।

सिद्धांत रूप में, सब कुछ स्पष्ट है - अपाचे को कॉन्फ़िगर किया गया था ताकि सूचकांक फ़ाइलों के बिना निर्देशिकाओं ने अपनी सामग्री दिखाई। यह एक बहुत ही महत्वपूर्ण समस्या नहीं है, अगर परिस्थितियों के एक घातक संयोजन के लिए नहीं। कैरियर पोर्टल पर आप अपने संपर्क विवरण और अपनी फिर से शुरू फाइल अपलोड कर सकते हैं। कुछ मिनट और मैं पहले से ही आवेदकों के डेटा के साथ निर्देशिका को सूचीबद्ध कर रहा हूं।





यह सब दिलचस्प है, लेकिन व्यवस्थापक पैनल नहीं। इसलिए, हम कुछ खोजने की उम्मीद में सभी फ़ोल्डरों के माध्यम से छोड़ते हैं।
बचपन की गलती नहीं - मानवीय कारक। मुझे नहीं पता कि कैसे, और सबसे महत्वपूर्ण बात यह है कि, लेकिन पीडीएफ / आरटीएफ / डीओसी फाइलों वाली निर्देशिकाओं में से एक में बिना एक्सटेंशन वाली एक फाइल थी, जो एक PHP स्क्रिप्ट थी।



इस फ़ाइल के लिए धन्यवाद, एक नया खोज वेक्टर प्राप्त किया गया था - फ़ोल्डर / एस्टाफ़ /, जहां उपयोगकर्ता नाम / पासवर्ड जोड़ी, मॉड्यूल स्क्रिप्ट के साथ रिक्तियों को जोड़ने / हटाने के लिए लॉग, साथ ही बिट्रिक्स व्यवस्थापक पैनल से संपर्क करने वाले विवरणों में से एक में प्रदर्शित किया गया था।

अब, शारिक, आप एक और आधे दिन उसके लिए चलेंगे - फोटो देने के लिए ...

दुर्भाग्य से, मेरे लिए यह कहानी एक सुखद अंत के बिना समाप्त हुई। सबसे पहले, मुझे लंबे समय तक आईटी से संबंधित बैंक के एक वास्तविक प्रतिनिधि की तलाश करनी थी। बैंकों के लिए समर्थन की पहली पंक्ति (साथ ही स्वयं एचआर), सिद्धांत रूप में, उस समस्या को नहीं समझती थी, जो अपेक्षित है, लेकिन आवश्यक विभागों के सहयोगियों को इस डेटा को पारित नहीं कर सका।

समाधान लिंक्डइन था और विभिन्न विभागों के प्रमुखों को व्यक्तिगत संदेश भेजना, कम से कम किसी तरह आईटी बुनियादी ढांचे से संबंधित।

दूसरे, दोनों बैंकों में बग बाउंटी कार्यक्रम नहीं है, नतीजतन, सब कुछ एक संक्षिप्त "धन्यवाद" तक सीमित था।

और तीसरा, दोनों बैंकों के एचआर ने अनुभव की कमी का हवाला देते हुए मेरे फिर से शुरू होने पर विचार नहीं किया।