Így dolgozik egy hacker

A számítógépes hackerek munkájának általánosságban véve nem túl jó a társadalmi megítélése. A legtöbb ember úgy gondolja, hogy megérzés alapján dolgoznak, folyamatosan keresik a hibát, amíg végre nem tudják hajtani azt a bizonyos megsemmisítő csapást.

 

 

 

Ha kíváncsi vagy, hogyan zajlik valójában egy hacker munkája, akkor az Imgur képmegosztó kapcsán megismerheted.

Az Imgur feltérképezése

Egy hivatásos biztonsági kutató, Nathan Malcolm egy napon elszánta magát, hogy kiszimatolja az Imgur érzékeny pontját. Felhasználói szinten tudta, hogyan működik a platform. Amint belevetette magát a dologba, az XSS, clickjacking és CSRF problémákat tárt fel. Az Imgur számára jelentette a problémákat, akik egy köszönőlevél kíséretében kisebb ajándékokat ajánlottak fel. Mindez még 2015-ben történt.

Rövid idő múltán feltörték az Imgurt. A támadók egy HTML fájlba kártékony Javascript kódot ágyaztak. Ennek hatására az Imgur vezetősége pénzjutalmat kínált azoknak, akik hibát találnak a rendszerükben, féltették a szerverük biztonságát.

Nathan 20 hibát jelentett, ám mindössze 50 dollárt kapott érte. Nathan azonban nem adta fel, és egy érdekes forráskódra bukkant. Ez alapján eljutott az Imgur belső fejlesztő aloldaláig, az imgur-dev.com-ra. Mivel a szerver épp kikapcsolt állapotban volt, csak a tárolt változatot láthatta.

 

 

Nathan továbblép

Novemberben azonban az alan.imgur-dev.com oldalra tudott kapcsolódni, amin épp az Imgur tesztváltozata futott néhány poszttal és tesztfelhasználóval. Nem ez volt az igazán érdekes, hanem az, hogy fejlesztői kódokba látott bele, többek között az Imgur forráskódjába, PHP értesítésekbe nyert betekintést és adatbázis lekérdezésekbe. Sőt, a konfigurációs fájlok elérését is meglátta.

Miután hibajelentése ellenére nem lépett az Imgur, a SubBrute nevű programmal Nathan aldomainek után kezdett kutatni. Megtalálta az es.alan.imgur-dev.com aldomaint. Ez egy Elasticsearch szerver volt, ami frissítések híján tele volt biztonsági hiányosságokkal. Elérte azokat a fájlokat, amiket a fejlesztők biztonságban hittek.

A keys.php API kulcsokkal volt tele, ráadásul a lokális és távoli MySQL szerver hozzáféréseit is megtudta Nathan. Miután felfedezte az sql.alan.imgur-dev.com aloldalt, gyakorlatilag teljhatalmat kapott a rendszer fölött. Hatalmas kárt okozhatott volna a cégnek, ám e helyett jelentette a problémát.

Mi lett a következmény?

Az év utolsó hónapjában 500 dollár jutalmat kapott az összes bejelentéséért, amit érthető módon kevesellt. Ennek egy levélben adott hangot, melynek hatására az igazgató 5000 dollárral kiegészítette a Nathannek megítélt összeget. Az etikus hacker azóta is segíti az Imgur munkáját.

A Nathanhöz hasonló emberek miatt növekszik a szerverek biztonsága napról napra, megéri tehát őket pénzjutalomban részesíteni.