फ्रीलांसर - एक पंचक की कहानी

यह कहानी शरद ऋतु की शुरुआत में शुरू हुई। और यह इस तथ्य से शुरू हुआ कि लापरवाह छात्रों के लिए परीक्षणों को सुलझाने और डिप्लोमा लिखने में शामिल कंपनियों में से एक ने पूरी तरह से अपनी गतिविधियों को नेटवर्क स्थान पर स्थानांतरित करने का फैसला किया। शहर में कार्यालय समय से पहले बंद हो रहे थे, और काम के सभी कलाकारों को एक नई वेबसाइट पर आमंत्रित किया गया था। हमारी कहानी के नायक को भी यह निमंत्रण मिला। जो कुछ हुआ, उससे उसने निष्कर्ष निकाला - अब वह एक फ्रीलांसर है। कई कारणों से, उन्हें अपनी नई भूमिका पसंद नहीं आई। उन्हें साइट भी पसंद नहीं थी, जिसकी बदौलत उन्होंने अपनी अंशकालिक नौकरी खो दी, जो एक गरीब छात्र की मदद कर रहा था, और आदेश पर एक प्रस्ताव छोड़ने के अवसर के लिए पहले से ही भुगतान करने के लिए मजबूर किया गया था। और हम कभी-कभी उन चीजों के साथ क्या करना चाहते हैं जिनसे हम नफरत करते हैं? यह सही है, इसे तोड़ो! यह विचार हमारे फ्रीलांसर को हुआ। शाम को दिलचस्प होने का वादा किया।

चलो शुरू हो जाओ!

अब फ्रीलांसर वेब सुरक्षा के सिद्धांतों के अपने सभी ज्ञान को काम में ले आया है। न तो प्रोफ़ाइल हब का पढ़ना, न ही इंटरनेट से कई लेख, और न ही छोटे व्यावहारिक प्रयोगों ने कुछ भी नहीं किया है। अब वह एक फ्रीलांसर नहीं था, लेकिन एक पेंटेस्टर, जैसा कि हम उसे अपने कथा में कहेंगे। पहले ही पृष्ठों में से एक पर खोज फ़ॉर्म से शुरू करने का निर्णय लिया गया था। तो ... Sqli, नहीं, लेकिन XSS ... शायद! फ़िल्टरिंग क्षेत्र में मौजूद था, लेकिन यह सख्त नहीं था, और कुछ किया जा सकता है। यह वह जगह है जहाँ संसाधन पर शोध करने में वास्तविक रुचि शुरू होती है! हमले के वेक्टर को विकसित करने में लगभग 15 मिनट का समय लगा, और यहाँ यह है - लंबे समय से प्रतीक्षित "उफ़!" चेतावनी विंडो में स्क्रीन पर दिखाई दिया। लेकिन पेंटेस्टर की आगे की घटनाएं थोड़ी परेशान करने वाली थीं - उपयोगकर्ता नाम क्षेत्र में एक स्थिर सक्रिय XSS था। यह सामान्य निष्क्रिय XSS को इतने लंबे समय तक हरा देने के लिए शर्म की बात थी, जब अगले पृष्ठ पर आदेश फीड में कोड को इंजेक्ट करने की एक निर्विवाद क्षमता थी - साइट के मुख्य पृष्ठ पर! मेरे दिमाग में बुरे विचार घूमते हैं, लेकिन क्या अगर ... नहीं। पेन्टस्टर पाए जाने वाले छिद्रों का शोषण करने वाला नहीं था। खुद से संतुष्ट होकर, वह संसाधन के प्रशासन पर एक रिपोर्ट लिखने के लिए बैठ गया। लेकिन यह भी एक कहानी उबाऊ होगी अगर इसे यहां समाप्त करने के लिए नियत किया गया था।

अधिक दिलचस्प है

वह व्यक्ति जो नए फ्रीलांसर साइट को प्रबंधित करता है, और हम इसे बस एडमिन कहेंगे, यह अच्छी तरह से जानता था कि संसाधन पर प्रतिक्रिया फ़ॉर्म अक्षम था और मेलबॉक्स काम नहीं कर रहा था। इसलिए, वह इस विशेष साइट से संबंधित फोन कॉल से आश्चर्यचकित नहीं था। सुरक्षा समस्याओं के बारे में एक बयान के जवाब में, उन्होंने केवल यह कहा कि वह इस मुद्दे में बहुत रुचि रखते थे और उन्होंने अपना संपर्क ई-मेल दिया। पेंटेस्टर ने नोटबुक में अपने पसंदीदा जेल पेन के साथ इसे लिखा था और आधे घंटे के बाद वह पहले से ही एक उत्तर पत्र की प्रतीक्षा कर रहा था। जवाब ने मेरा इंतजार किया। यह कहा गया है कि भेद्यता को जल्द से जल्द हटा दिया जाएगा, और पेंटेस्टर को एक छोटे मौद्रिक इनाम का वादा किया गया था। इस तथ्य ने गरीब छात्र को प्रसन्न किया, ईमानदार काम के लिए ईमानदार पैसा वह है जो अब उसकी कमी थी। उन्होंने अपने विवरण को छोड़ दिया और इंतजार किया। दो दिन। एक हफ्ता। महीना। दिन छोटा हो रहा था, और साइट प्रशासन इसे भूल जाना लगा। व्यवस्थापक, और यह वह था जिसने पत्र पढ़ा, यहां तक ​​कि मेल का जवाब देने से इनकार कर दिया। और यहां पेंटेस्टर ने फ्रीलांस एक्सचेंज के विश्लेषण में गंभीरता से संलग्न होने का फैसला किया। उसे यह भी नहीं पता था कि, उसे सिर्फ यह काम पसंद था।

सौदा, सज्जनों!

अध्ययन शुरू हो गया है। एक त्वरित निरीक्षण से पता चला कि साइट तीसरे पक्ष के सीएमएस पर बनाई गई थी, जिसे तुरंत पहचाना नहीं जा सकता था। खोज पृष्ठों और व्यक्तिगत जानकारी पर प्रपत्र देखने से कुछ नहीं मिला। POST और GET अनुरोधों में प्रेषित अन्य सभी डेटा का संशोधन भी कुछ नया नहीं बताता है। लेकिन साइट के काम का एक और पहलू रहा, जिस पर ध्यान नहीं दिया गया - एक आदेश रखने की प्रक्रिया। और इसमें एक पल बना रहा जो विशेष रुचि पैदा करता था। यह केवल जाँच करने के लिए बनी रही ... और हाँ! ठेकेदार और ग्राहक के बीच विनिमय के समय तैयार काम की फाइल बस मानक एक्सेस अधिकारों के साथ एक फ़ोल्डर में रखी गई थी और विस्तार द्वारा फ़िल्टर नहीं की गई थी। एक बहुत ही बचकानी गलती, पेंटेस्टर ने सोचा, वह विश्वास भी नहीं कर सकता था कि एक्सचेंज, जिसका कारोबार कई सैकड़ों हजारों रूबल में मापा गया था, इस तरह के निरीक्षण को बर्दाश्त कर सकता है। और नए-नए पटाखे मदद नहीं कर सकते थे, लेकिन इसका उपयोग करें। एंटीवायरस के साथ एक छोटे से युद्ध के बाद जो लगातार डिस्क से php शेल को मिटाता था, स्क्रिप्ट को सर्वर पर सफलतापूर्वक अपलोड किया गया था। माउस और पेंटेस्टर के कुछ क्लिकों ने उनके मॉनिटर पर इस तरह के एक स्वागत योग्य शेल मेनू और साइट की रूट डायरेक्टरी की फाइलों को देखा।

अंदर क्या है?

किस तरह का सीएमएस पेंटेस्टर के लिए इतना दयालु था और शांति से उसे जाने दिया जहां यह सख्त वर्जित था?

/** * Home page loader * * @package Cotonti * @version 0.0.3 * @author Neocrome, Cotonti Team * @copyright Copyright (c) Cotonti Team 2008-2009 * @license BSD */ 

इसलिए पहले ओपन फाइल की पहली पंक्तियों को पढ़ें। यहां जवाब है - यह कोट्टोंटी था, जो विकिपीडिया के अनुसार "नेटवर्क के सबसे ज्ञात प्रकारों के खिलाफ सुरक्षा प्रदान करता है: PHP इंजेक्शन, ऐसी फाइलें डाउनलोड करना जो उनके प्रकार, SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग (XSS), क्रॉस-साइट अनुरोध अनुरोध (CSRF) से मेल नहीं खाती हैं ) और अन्य। " जैसा कि आप देख सकते हैं, आपको उन सभी चीजों पर विश्वास नहीं करना चाहिए जो एक मुफ्त विश्वकोश में लिखे गए हैं, हालांकि तकनीकी विशेषता में किसी भी मामूली छात्र के लिए यह पहले से ही स्पष्ट है। डेटाबेस के विश्लेषण से पता चला कि md5 मानक आठ अंकों के पासवर्ड मुक्त हैश डेटाबेस के लिए पर्याप्त मजबूत थे। लेकिन उपयोगकर्ताओं द्वारा निर्धारित पासवर्ड ने इस तरह के चेक को पास नहीं किया और नट्स की तरह फटा। आंकड़े तिथियों के समान हैं और यहां तक ​​कि अंग्रेजी लेआउट में लिखे गए नौ अंकों के उपनाम भी। जैसा कि यह पता चला, जब विस्तार से काम के परिणामों की जांच करते हैं, तो डिजिटल पासवर्ड उपयोगकर्ताओं का परीक्षण करने के लिए थे, और केवल एक वास्तव में बिल्कुल गैर-क्रिप्टोग्राफ़िक पासवर्ड में बदल गया - आप कौन सोचेंगे? कंपनी के एक कर्मचारी, जो अभी तक एकमात्र शेष कार्यालय में बैठे थे, ने अपने पास आने वाले छात्रों के लिए आदेश जारी किए, हालांकि अधिक असामान्य रूप में। वैसे, उसके खाते में कई सौ हजार रूबल थे, जिसे हमारे पेंटेस्टर ने भी नहीं छुआ। उनकी अन्य योजना परिपक्व हो गई है।

एक लाख रुपये की चाल

व्यवस्थापक ने अपना जीवन व्यतीत किया और, साइट की नवीनीकरणशीलता को देखते हुए, इससे जुड़ी सभी समस्याओं के बारे में पूरी तरह से भूल गया। साइट ने काम किया और पैसा लाया। लेकिन उस धूप वाले दिन कुछ अप्रत्याशित हुआ। वापसी लॉग्स को देखते हुए, उन उपयोगकर्ताओं में से एक जिनके बारे में डेटाबेस में केवल नाम नहीं था, लेकिन यहां तक ​​कि अंतिम यात्रा का रिकॉर्ड भी, जिसमें आईपी पता स्वचालित रूप से दर्ज किया गया था, ने सिस्टम से काफी बड़ी मात्रा में धन निकालने की कोशिश की। उपयोगकर्ता छाया की तरह था - बस एक आईडी और उसके व्यवहार के अनुरूप उपनाम, उदाहरण के लिए, छाया। गहराई से खोदते हुए, व्यवस्थापक ने महसूस किया कि छाया कोई भी पैसा वापस नहीं ले सकता है, बहु-मूल्यवान राशि स्वयं उपयोगकर्ता के रूप में भूतिया थी। वास्तव में, यह बस अस्तित्व में नहीं था। लेकिन अकाट्य मशीन रिकॉर्ड ने कहा कि इसके विपरीत है - पैसा है और भुगतान किया जाना चाहिए। दहशत बढ़ने लगी थी। उस समय के पेंटेस्टर ने शांति से अपने कप कॉफी पी ली, और जब नीचे एक आधा ठंडा पेय काफी था, तो उसकी नज़र नए संदेशों के संकेतक पर पड़ी। एक अपठित एक व्यवस्थापक का एक पत्र है जो इसे बहुत पहले भूल गया था। "यह आप हमारे लिए अभ्यास नहीं कर रहे हैं?" पत्र का पाठ भोलेपन से पढ़ा। कुछ मिनट इंतजार करने के बाद, पेंटेस्टर ने एक और कप कॉफी ली और एडमिन का नंबर डायल किया।
"नमस्कार," उन्होंने शांति से कहा, "आपके अंतिम पत्र को देखते हुए, मैं समझता हूं कि आपको समस्याएं हैं और यह भी पता है कि क्या हो सकता है।" तथ्य यह है कि मैंने आपके लिए संसाधन के सभी सुरक्षा छेदों को प्रकट नहीं किया, जब तक कि आप मेरे बारे में भूल नहीं गए। क्या आप हमें और विस्तार से बता सकते हैं कि आपके साथ क्या हुआ?
प्रतिक्रिया में, व्यवस्थापक ने रिसीवर में एक असंगत भाषण सुना, स्थिति को समझाने की कोशिश कर रहा है। कुछ मिनट बाद वह सफल हो गया।
"मैं शायद समझता हूं कि एक हमलावर के लिए यह कैसे काम करता है," पेंटेस्टर ने कहा, और मैंने खुद को सोचा कि बस कुछ अच्छी तरह से गठित एसक्यूएल प्रश्न अद्भुत काम कर सकते हैं। - मैं आपकी मदद भी कर सकता था, लेकिन आपने हमारे पहले सहयोग के समय बहुत बुरा किया ...
यह बातचीत कई और मिनटों तक जारी रही और इसमें कई माफीें भी थीं। और एक दिन बाद, एक प्रतीकात्मक 1000 रूबल पेंटेस्टर के खाते में आ गया। लेकिन उसे अब पैसे की जरूरत नहीं थी - उसके पास खुद के लिए फैसला करने के लिए ट्यूब से उस भिखमंगी और डरी हुई आवाज काफ़ी थी - न्याय की जीत हुई थी। एक और दो दिनों के बाद, फ़ाइल साझा कार्यक्षमता को अक्षम करके व्यवस्थापक को सूचित किया गया था, जिसे एक और दिन बाद बहाल कर दिया गया था। यह साइट पर दिखाई देते ही छाया भंग हो गई। किसी ने भी उस क्षण को नहीं देखा जब बीमार आईडी वाला उपयोगकर्ता केवल तालिका में एक बाइट छोड़ने के बिना गायब हो गया।

निष्कर्ष और निष्कर्ष के बजाय

पेंटेस्टर ने लंबे समय तक सोचा: क्या उसने सही काम किया? क्या एक क्षणिक आवेग के आगे झुकना संभव था, या पूरी कहानी अलग दिखने वाली थी? किसी भी मामले में, खुद के लिए, उन्होंने फैसला किया कि संप्रदाय बहुत सफल था। साइट अब सुरक्षा समस्याओं का अनुभव नहीं करती है और काफी अच्छी तरह से संरक्षित हो गई है, और पेंटेस्टर को अपना छोटा बोनस मिला। अब यह पेंटेस्टर की तरह है, और फ्रीलांसर नहीं है, वह कभी भी उस बदले में नहीं लौटा जिसने अपनी आत्मा में इतने छाप छोड़ दिए।