मुझे अपनी पहली भेद्यता कैसे मिली?

प्रस्तावना

सभी को नमस्कार। मेरी उम्र 20 साल है। कुछ समय पहले तक, मैंने लिसेयुम में अध्ययन किया था और एक चिकित्सा विश्वविद्यालय में प्रवेश करने की तैयारी कर रहा था, और अब मैं एक अमेरिकी कंपनी में पूर्ण-स्टैक डेवलपर हूं। वास्तव में, मुझे बहुत खुशी है कि मैं दवा के साथ सफल नहीं हुआ - प्रोग्रामिंग मेरा शौक था, और अब मैं इसे हर समय कर सकता हूं। अब मैं इसके बजाय आईटी में सफलता के बारे में नहीं लिखूंगा। अभी मैं इस बारे में बात करना चाहता हूं कि कैसे मैं कमजोरियों पर एक दो पुस्तकें पढ़ता हूं (अपनी परियोजनाओं की रक्षा के लिए) और मैं इस ज्ञान को व्यवहार में लाने में कामयाब रहा।

त्याग

सभी सामग्री, स्क्रीनशॉट, साथ ही तीसरे पक्ष के संसाधनों के लिंक, शैक्षिक उद्देश्यों के लिए पोस्ट किए गए हैं। लेखक अन्य आगंतुकों द्वारा हैबर के उपयोग के लिए जिम्मेदार नहीं है। कंपनी को 48 घंटे की भेद्यता के बारे में सूचित किया गया था और इसे ठीक करने के लिए पर्याप्त डेटा प्राप्त हुआ था।

यह सब कैसे शुरू हुआ

यह एक बहुत ही सामान्य दिन था। मैंने कई काम पूरे किए और एक कप कॉफी पी। उसी समय, मैंने एडब्ल्यूएस पर आवेदन की तैनाती के बारे में एक लेख पढ़ने का फैसला किया, जिसे मैंने एक बार वीके में खुद को रिपोट किया था (वैसे, मैंने कभी लेख नहीं पढ़ा)। लेख के दाईं ओर कॉलम कई अन्य लेख और होस्टिंग प्रदाता के लिए एक भागीदार बैनर प्रदर्शित करता है ।



मुझे याद नहीं है कि वास्तव में मुझे साइट पर जाने के लिए क्या किया गया था, लेकिन संक्रमण के दौरान मैंने एक दिलचस्प विशेषता देखी: लिंक पंजीकरण पृष्ठ की ओर जाता है और यह तुरंत एक फ़ील्ड - एक प्रचारक कोड में भर जाता है।

यदि हम प्रचार कोड की तुलना करते हैं, जो इनपुट फ़ील्ड में और एड्रेस बार में स्थित है, तो हम देखते हैं कि वे पूरी तरह से मेल खाते हैं।

हम इसके बारे में क्या कर सकते हैं?

इसे बदलने की कोशिश करना आम बात है। यदि डेटाबेस में प्रचार कोड की तुलना मूल्य के साथ की जाती है - उच्च संभावना के साथ हमें एक त्रुटि मिलेगी। लेकिन इनपुट में बदलते समय - सर्वर के लिए कोई अनुरोध नहीं है और यह पता चलता है कि इनपुट की जांच केवल तभी की जाती है जब आप पंजीकरण बटन पर क्लिक करते हैं।

मुझे लगता है कि यहां आप पहले से ही कुछ और दिलचस्प कर सकते हैं: हमारे प्रचार कोड को सीधे पता बार में बदलें और देखें कि क्या होता है। यदि उनके पास विशेष रूप से हैबर के लिए प्रचार कोड नहीं है जो मैंने तुरंत अनुमान लगाया है, साथ ही साथ सौ अलग-अलग वर्ण सेट हैं , तो हम निश्चित रूप से पता लिंक का उपयोग करके इनपुट क्षेत्र के मूल्यों को बदल सकते हैं।



अगला चरण HTML कोड देखना है। इनपुट क्षेत्र पर आरएमबी -> आइटम कोड देखें।



यहां आप तुरंत देख सकते हैं कि हम इनपुट फ़ील्ड का मान बदल रहे हैं। आइए इसे बाहर निकालने का प्रयास करें और उदाहरण के लिए एक लिंक जोड़ें। ऐसा करने के लिए, हमें केवल लिंक बदलने की आवश्यकता है और हम पृष्ठ की सामग्री को बदल सकते हैं:



परिणाम: हमें होस्टिंग प्रदाता की साइट पर केवल xss भेद्यता मिली।

तो आगे क्या है?

मुझे लगता है कि यह गहराई में जाने लायक है। लिंक किसी तरह उथला है और दिलचस्प नहीं है। हम यह सब सेवा के मालिकों को बताना चाहते हैं और, आदर्श रूप से, एक इनाम प्राप्त करें (कंपनी, वैसे, बग बाउंटी नहीं है, जिसका अर्थ है कि यह सब भुगतान नहीं किया गया है, लेकिन तब मुझे इसके बारे में पता नहीं था)। आइए ब्लॉक को जगह देने की कोशिश करें, इसे स्थिर करें और छवि डालें। इसके लिए क्या आवश्यक है? सभी समान - यूआरएल बदलें।

मुझे लगता है कि html और css का वर्णन करना इसके लायक नहीं है, इसलिए मैंने बस यहाँ रखा कि क्या हुआ। हैबर टैग का एक हिस्सा ब्लॉक करता है, दूसरों को बताता है - मैं यहां लिंक कोड नहीं डाल सकता।



मैं यहां एक लिंक पोस्ट करूंगा। मुझे नहीं पता कि यह इस समय काम करता है, लेकिन इसे पोस्ट करते समय काम किया। किसे इसकी आवश्यकता है - लिंक और पार्स को बाहर निकालता है।

पारिश्रमिक

ऐसा मत सोचो कि upCloud ने पूरी तरह से भुगतान करने से इनकार कर दिया। इसके बजाय, उन्होंने मुफ्त में अपनी सेवाएं दीं। लेकिन मैंने इस प्रकार के भुगतान से इनकार कर दिया, क्योंकि मुझे अब सर्वर किराए पर लेने में कोई दिलचस्पी नहीं है।

इस भेद्यता का दोहन कैसे किया जा सकता है?

यहां सब कुछ सरल है: आप सभी नए उपयोगकर्ताओं से डेटा एकत्र करके शुरू कर सकते हैं, और फ़िशिंग साइटों के साथ समाप्त हो सकते हैं और किसी और की मेजबानी का उपयोग कर सकते हैं। आप पृष्ठ के सभी लिंक को अपने साथ बदल सकते हैं या उपयोगकर्ताओं के साथ फ़ॉर्म को बदल सकते हैं। उन्हें रेफरल के रूप में भेजना काफी है। और हां, आप फॉर्म से सर्वर के लिए एक अनुरोध स्थानापन्न कर सकते हैं ताकि यह प्रचारक कोड की जांच न करें (पंजीकरण करते समय, प्रचारक कोड की जांच की जाती है, और प्रतिक्रिया ग्राहक को एक त्रुटि के साथ वापस आ जाती है, लेकिन यह सब zhs को सक्षम करके हल किया जाता है)

डेवलपर्स क्या करना भूल गए:

यह सरल है - उपयोगकर्ता इनपुट को मान्य करें। SQL-Inj वहां काम नहीं करता है - सेवा वर्डप्रेस पर लटकाती है, और यह, बदले में, आने वाली लाइनों को संसाधित करती है।

इसलिए, हम कर सकते हैं:

1. पेज रेंडर करते समय आधार के साथ प्रोमो कोड की जाँच करें
   
   यह धीमा है और न्यायसंगत नहीं है। डेटाबेस पर कोई अतिरिक्त भार नहीं है, और इसमें कोई मतलब नहीं है अगर यह अभी भी पंजीकरण के दौरान जांचा जाता है।
   
2. प्रचार कोड को नियमित सीजन के माध्यम से चलाएं
   
   / ^ [A-Z0-9] + $ / - मानों को मान्य करने और कमजोरियों से बचाने के लिए पर्याप्त है। और यह डेटाबेस को क्वेरी करने की तुलना में तेजी से काम करता है, और प्रभाव कोई भी बदतर नहीं है - एक्सएसएस को हटा दिया जाता है।
   

निष्कर्ष

सेवा के मालिकों को 48 घंटे + 2 दिन पहले सूचित किया गया था कि मैं ईमेल और लिंक्डइन द्वारा बातचीत कर रहा था, जो कम से कम किसी तरह से विकास से संबंधित थे। सभी वार्तालाप आए: "कृपया हमें बताएं कि आपने यह कैसे किया, लेकिन निश्चित रूप से हम कमजोरियों के लिए भुगतान नहीं करेंगे।" मैं यह भी जोड़ता हूं कि जिस तरह से साइट तृतीय-पक्ष js- स्क्रिप्ट्स को स्वीकार करती है: दोनों तृतीय-पक्ष स्रोत के माध्यम से और प्रत्यक्ष कोड लेखन द्वारा, हालांकि, दूसरे मामले में, Google क्रोम स्वचालित रूप से xss का पता लगाता है और एक सेवा पृष्ठ के बजाय एक त्रुटि पृष्ठ प्रदान करता है।

मुझे उम्मीद है कि प्रत्येक प्रोग्रामर सभी इनपुट डेटा को मान्य करेगा और क्वेरिस्ट्रिंग के बारे में नहीं भूल जाएगा। और मुझे यह भी सुनिश्चित है कि लेख किसी को अग्रिम सूचना देने में मदद करेगा + घर में इस समस्या को ठीक करेगा।

आपका ध्यान देने के लिए बहुत-बहुत धन्यवाद।