प्रविष्टि

एक बार, 2018 की गर्मियों में, मुझे यह पता लगाने में दिलचस्पी थी कि वास्तव में वेब अनुप्रयोगों में कमजोरियों की खोज क्या है और मैंने एक मित्र से यह दिखाने के लिए कहा कि यह कैसे काम करता है। हमने अपनी कंपनी ( DaOffice द्वारा विकसित) के कॉर्पोरेट सोशल नेटवर्क के शिकार के रूप में चुना।

नई पीढ़ी इंट्रानेट। सामाजिक। मोबाइल। शामिल हैं।

हमने अध्ययन करना शुरू किया और XSS, CSRF, आदि के खिलाफ सुरक्षा की कमी से संबंधित कई गैर-महत्वपूर्ण कमजोरियां पाईं। लेकिन लेख उनके बारे में बिल्कुल भी नहीं है, और अब, यदि आपकी कंपनी में एक सामाजिक नेटवर्क है, तो आप उनके साथ खुद को परिचित कर सकते हैं।

उपयोगकर्ता स्व-विलोपन

मैंने सोशल नेटवर्क में लॉग इन किया, और हमने ब्राउज़र और सर्वर के बीच एक्सचेंज किए गए अनुरोधों का अध्ययन करना शुरू किया। पेज कोड के टुकड़ों में से एक में, मेरी नज़र "SelfDelete" (पूर्ण पता https: // <अपने सोशल नेटवर्क साइट> / net_home / PrivateRoom / SelfDelete ) के नाम के साथ एक पृष्ठ का उल्लेख करते हुए पकड़ी गई। कहीं भी वे इंटरफ़ेस में इस पर एक लिंक / बटन नहीं ढूंढ पाए और अंत में मैंने बस उस पर क्लिक किया, उसके बाद मेरा खाता सोशल नेटवर्क से हटा दिया गया। तथ्य यह है कि ब्राउज़र में खींची गई कुकीज़ उपयोगकर्ता से पुष्टि के बिना खाते को हटाने के लिए पर्याप्त थीं - CSRF एक GET अनुरोध के माध्यम से संचालित होता है।

आलोचना की रेटिंग

हटाने के लिए, जैसा कि यह निकला, यह पर्याप्त था कि उपयोगकर्ता खाते में लॉग इन किया गया था और उसकी कुकी सड़ा नहीं था, उपयोगकर्ता को किसी भी तरह से ब्राउज़र के माध्यम से लिंक का पालन करने के लिए मजबूर करने के लिए।

सामान्य भेद्यता स्कोरिंग प्रणाली के अनुसार, भेद्यता का आकलन निम्नानुसार किया जा सकता है:

पहले फोन करो

दुर्भाग्य से, डेवलपर की साइट पर संपर्कों से केवल फोन नंबर का संकेत दिया गया है, जो कि, जैसा भी था, हमारे ऊपर संकेत करता है और वे किसी भी समझदार का जवाब नहीं देंगे। इसलिए, हमने प्रसिद्ध आंतरिक संपर्कों के माध्यम से संपर्क किया और एक अस्वीकृति अनुरोध प्राप्त किया।

दूसरी अपील

अगस्त 2018 की शुरुआत में, हमारे कर्मचारियों ने "चमत्कारिक रूप से" इस लिंक के अस्तित्व के बारे में सीखा और इसे सक्रिय रूप से साझा करना शुरू किया। हमारे उपयोगकर्ताओं ने सामाजिक नेटवर्क पर नए सिरे से पंजीकरण करना शुरू किया, यह इस प्रकार है:







नतीजतन, डेवलपर को सूचित करना कि हमारे उपयोगकर्ता, लाइसेंस की कमी के कारण, सहकर्मियों को हटाते हैं और फिर नि: शुल्क लाइसेंस प्रकट होने पर खुद को पंजीकृत करते हैं, डेवलपर इसे ठीक करने के लिए आगे बढ़ा और 4 महीने के बाद भेद्यता तय हो गई।

यह अफ़सोस की बात है कि कुछ उपयोगकर्ताओं ने समूहों, सामग्री, इतिहास में व्यवस्थापक अधिकार खो दिए हैं, लेकिन उनके पास उपयोगकर्ता के पते में एक नंबर है: https: // <अपने सामाजिक नेटवर्क साइट> / net_home / लोग / <उपयोगकर्ता नाम> 2
2019 में, एमएस यमर पर इस सामाजिक नेटवर्क को बदलने के लिए किसी ने मेरे प्रस्तावों को नहीं सुना, जबकि सब कुछ अभी भी समान है। यदि किसी के पास www.cvedetails.com पर आवश्यक अधिकारों के साथ खाता है , तो मैं इस लेख के लिंक के साथ भेद्यता को प्रकाशित करने का प्रस्ताव करता हूं ।