איך התנהל ההאקתון הראשון ב-The Standoff

ב-PHDays 9 לראשונה כחלק מקרב סייבר ה-Standoff התקיים האקתון למפתחים. בזמן שהמגנים והתוקפים נאבקו במשך יומיים על השליטה בעיר, מפתחים נאלצו לעדכן יישומים שנכתבו ונפרסו מראש ולהבטיח שהם יפעלו בצורה חלקה מול מטח התקפות. נספר לכם מה יצא מזה.

רק פרויקטים לא מסחריים שהוגשו על ידי מחבריהם התקבלו להשתתף בהאקתון. קיבלנו פניות מארבעה פרויקטים, אבל רק אחד נבחר - bitaps (bitaps.com). הצוות מנתח את הבלוקצ'יין של ביטקוין, Ethereum ומטבעות קריפטוגרפיים חלופיים אחרים, מעבד תשלומים ומפתח ארנק קריפטוגרפי.

מספר ימים לפני תחילת התחרות, המשתתפים קיבלו גישה מרחוק לתשתית המשחקים כדי להתקין את האפליקציה שלהם (היא התארחה בקטע לא מוגן). ב-The Standoff, התוקפים, בנוסף לתשתית של העיר הוירטואלית, נאלצו לתקוף את האפליקציה ולכתוב דוחות פרס על באגים על נקודות התורפה שנמצאו. לאחר שהמארגנים אישרו את קיומן של שגיאות, המפתחים יכלו לתקן אותן אם ירצו. על כל נקודות התורפה שאושרו, הצוות התוקף קיבל פרס בפומבי (מטבע המשחק של The Standoff), וצוות הפיתוח נקנס.

כמו כן, על פי תנאי התחרות, המארגנים יכלו להציב למשתתפים משימות לשיפור האפליקציה: היה חשוב ליישם פונקציונליות חדשה מבלי לעשות טעויות שישפיעו על אבטחת השירות. על כל דקת הפעלה נכונה של האפליקציה ועבור יישום שיפורים, זכו היזמים בכספי ציבור יקרים. אם נמצאה פגיעות בפרויקט, וכן על כל דקה של השבתה או הפעלה לא נכונה של האפליקציה, הם נמחקו. זה היה במעקב צמוד על ידי הרובוטים שלנו: אם הם מצאו בעיה, דיווחנו על כך לצוות bitaps, נותן להם הזדמנות לתקן את הבעיה. אם זה לא חוסל, זה הוביל להפסדים. הכל כמו בחיים!

ביום הראשון של התחרות, התוקפים בדקו את השירות. בסופו של יום, קיבלנו רק כמה דיווחים על פרצות קלות באפליקציה, שהחבר'ה מ-bitaps תיקנו מיד. בסביבות השעה 23:XNUMX, כשהמשתתפים עמדו להשתעמם, הם קיבלו מאיתנו הצעה לשפר את התוכנה. המשימה לא הייתה קלה. בהתבסס על עיבוד התשלום הזמין באפליקציה, היה צורך להטמיע שירות שיאפשר העברת אסימונים בין שני ארנקים באמצעות קישור. על שולח התשלום - המשתמש בשירות - להזין את הסכום בדף מיוחד ולציין את הסיסמה להעברה זו. על המערכת ליצור קישור ייחודי הנשלח אל מקבל התשלום. הנמען פותח את הקישור, מזין את הסיסמה להעברה ומציין את ארנקו לקבלת הסכום.

לאחר שקיבלו את המשימה, החבר'ה השתפרו, ועד השעה 4 בבוקר השירות להעברת אסימונים דרך הקישור היה מוכן. התוקפים לא הניחו לנו לחכות ותוך מספר שעות גילו פגיעות XSS קלה בשירות שנוצר ודיווחו לנו על כך. בדקנו ואישרנו את זמינותו. צוות הפיתוח תיקן את זה בהצלחה.

ביום השני, ההאקרים ריכזו את תשומת לבם בקטע המשרדים של העיר הוירטואלית, כך שלא היו יותר התקפות על האפליקציה, והמפתחים יכלו סוף סוף לנוח מלילה ללא שינה.

בתום התחרות בת היומיים, הענקנו לפרויקט bitaps פרסים בלתי נשכחים.
כפי שהודו המשתתפים לאחר המשחק, ההאקתון אפשר להם לבדוק את עוצמת האפליקציה ולאשר את רמת האבטחה הגבוהה שלה. "השתתפות בהאקתון היא הזדמנות מצוינת לבחון את הפרויקט שלך לאבטחה ולהשיג מומחיות באיכות קוד. אנו שמחים: הצלחנו להתנגד למתקפה של התוקפים, - שיתף את רשמיו חבר בצוות פיתוח bitaps Alexey Karpov. - זו הייתה חוויה יוצאת דופן, שכן היינו צריכים לחדד את האפליקציה במצב מלחיץ, בשביל מהירות. צריך לכתוב קוד איכותי, ובמקביל יש סיכון גבוה לטעויות. בתנאים כאלה אתה מתחיל להשתמש בכל הכישורים שלך"..

אנו מתכננים לערוך האקתון שוב בשנה הבאה. עקבו אחר החדשות!

מקור: www.habr.com