វាយប្រហារលើ HackerOne ដែលអនុញ្ញាតឱ្យចូលប្រើរបាយការណ៍ភាពងាយរងគ្រោះដែលបានបិទ

វេទិកា HackerOne ដែលអនុញ្ញាតឱ្យអ្នកស្រាវជ្រាវផ្នែកសន្តិសុខជូនដំណឹងដល់អ្នកអភិវឌ្ឍន៍អំពីការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ និងទទួលបានរង្វាន់សម្រាប់បញ្ហានេះ។ របាយការណ៍ អំពីការលួចចូលរបស់អ្នក។ អ្នកស្រាវជ្រាវម្នាក់បានគ្រប់គ្រងដើម្បីទទួលបានការចូលទៅកាន់គណនីរបស់អ្នកវិភាគសុវត្ថិភាពនៅ HackerOne ដែលមានសមត្ថភាពមើលឯកសារដែលបានចាត់ថ្នាក់ រួមទាំងព័ត៌មានអំពីភាពងាយរងគ្រោះដែលមិនទាន់ត្រូវបានជួសជុល។ ចាប់តាំងពីការចាប់ផ្តើមនៃវេទិកានេះ HackerOne បានបង់ប្រាក់ឱ្យអ្នកស្រាវជ្រាវសរុបចំនួន 23 លានដុល្លារដើម្បីកំណត់ភាពងាយរងគ្រោះនៅក្នុងផលិតផលពីអតិថិជនជាង 100 រួមទាំង Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon និងកងទ័ពជើងទឹកសហរដ្ឋអាមេរិក។

វាគួរឱ្យកត់សម្គាល់ថាការកាន់កាប់គណនីបានក្លាយជាអាចធ្វើទៅបានដោយសារតែកំហុសរបស់មនុស្ស។ អ្នកស្រាវជ្រាវម្នាក់បានដាក់ពាក្យសុំពិនិត្យអំពីភាពងាយរងគ្រោះដែលអាចកើតមាននៅក្នុង HackerOne ។ ក្នុងអំឡុងពេលនៃការវិភាគនៃកម្មវិធី អ្នកវិភាគ HackerOne បានព្យាយាមធ្វើម្តងទៀតនូវវិធីសាស្រ្តលួចចូលដែលបានស្នើឡើង ប៉ុន្តែបញ្ហាមិនអាចផលិតឡើងវិញបានទេ ហើយការឆ្លើយតបត្រូវបានផ្ញើទៅអ្នកនិពន្ធនៃកម្មវិធីដែលស្នើសុំព័ត៌មានលម្អិតបន្ថែម។ ក្នុងពេលជាមួយគ្នានេះ អ្នកវិភាគមិនបានកត់សំគាល់ថា រួមជាមួយនឹងលទ្ធផលនៃការត្រួតពិនិត្យមិនបានជោគជ័យ គាត់បានផ្ញើខ្លឹមសារនៃវគ្គរបស់គាត់ដោយអចេតនា។ ជាពិសេស ក្នុងអំឡុងពេលសន្ទនា អ្នកវិភាគបានផ្តល់ឧទាហរណ៍នៃសំណើ HTTP ដែលធ្វើឡើងដោយឧបករណ៍ប្រើប្រាស់ curl រួមទាំងបឋមកថា HTTP ដែលគាត់ភ្លេចលុបខ្លឹមសារនៃវគ្គខូគី។

អ្នកស្រាវជ្រាវបានកត់សម្គាល់ការត្រួតពិនិត្យនេះ ហើយអាចចូលប្រើគណនីដែលមានសិទ្ធិនៅលើ hackerone.com ដោយគ្រាន់តែបញ្ចូលតម្លៃ Cookie ដែលបានកត់សម្គាល់ដោយមិនចាំបាច់ឆ្លងកាត់ការផ្ទៀងផ្ទាត់ពហុកត្តាដែលប្រើក្នុងសេវាកម្មនោះទេ។ ការវាយប្រហារនេះគឺអាចធ្វើទៅបានដោយសារតែ hackerone.com មិនបានភ្ជាប់សម័យទៅ IP ឬកម្មវិធីរុករករបស់អ្នកប្រើប្រាស់។ លេខសម្គាល់វគ្គដែលមានបញ្ហាត្រូវបានលុបពីរម៉ោងបន្ទាប់ពីរបាយការណ៍លេចធ្លាយត្រូវបានបោះពុម្ពផ្សាយ។ វាត្រូវបានសម្រេចចិត្តបង់ប្រាក់ឱ្យអ្នកស្រាវជ្រាវចំនួន 20 ពាន់ដុល្លារសម្រាប់ការជូនដំណឹងអំពីបញ្ហា។

HackerOne បានផ្តួចផ្តើមសវនកម្មមួយដើម្បីវិភាគការកើតឡើងនៃការលេចធ្លាយ Cookie ស្រដៀងគ្នាកាលពីអតីតកាល និងដើម្បីវាយតម្លៃការលេចធ្លាយដែលមានសក្តានុពលនៃព័ត៌មានកម្មសិទ្ធិអំពីបញ្ហារបស់អតិថិជនសេវាកម្ម។ សវនកម្មមិនបានបង្ហាញពីភស្តុតាងនៃការលេចធ្លាយកាលពីអតីតកាលទេ ហើយបានកំណត់ថាអ្នកស្រាវជ្រាវដែលបង្ហាញពីបញ្ហាអាចទទួលបានព័ត៌មានប្រហែល 5% នៃកម្មវិធីទាំងអស់ដែលបង្ហាញនៅក្នុងសេវាកម្មដែលអាចចូលប្រើបានសម្រាប់អ្នកវិភាគដែលគ្រាប់ចុចសម័យត្រូវបានប្រើ។

ដើម្បីការពារប្រឆាំងនឹងការវាយប្រហារស្រដៀងគ្នានេះនាពេលអនាគត សោរវគ្គត្រូវបានចងភ្ជាប់ទៅនឹង អាសយដ្ឋាន IP និងការច្រោះសោសម័យប្រជុំ និងសញ្ញាសម្គាល់ផ្ទៀងផ្ទាត់នៅក្នុងមតិយោបល់។ នាពេលអនាគត ការភ្ជាប់ IP ត្រូវបានគ្រោងនឹងជំនួសដោយការភ្ជាប់ទៅឧបករណ៍អ្នកប្រើប្រាស់ ព្រោះការភ្ជាប់ IP មិនងាយស្រួលសម្រាប់អ្នកប្រើប្រាស់ដែលមានអាសយដ្ឋានដែលបានកំណត់ជាថាមវន្ត។ វាក៏ត្រូវបានសម្រេចចិត្តពង្រីកប្រព័ន្ធកត់ត្រាជាមួយព័ត៌មានអំពីការចូលប្រើទិន្នន័យរបស់អ្នកប្រើប្រាស់ និងអនុវត្តគំរូចូលប្រើលម្អិតសម្រាប់អ្នកវិភាគចំពោះទិន្នន័យអតិថិជន។

ប្រភព: opennet.ru