Pirms pÄris dienÄm pabeidzÄm vienu no emocionÄli pÄrspÄ«lÄtÄkajiem pasÄkumiem, ko mums ir laimÄjies vadÄ«t bloga ietvaros - tieÅ”saistes hakeru spÄli ar servera iznÄ«cinÄÅ”anu.
RezultÄti pÄrsniedza visas mÅ«su cerÄ«bas: dalÄ«bnieki ne tikai piedalÄ«jÄs, bet arÄ« Ätri izveidojÄs labi koordinÄtÄ 620 cilvÄku kopienÄ Discord, kas burtiski pÄrÅÄma meklÄjumus divÄs dienÄs bez miega pÄrtraukuma.
Un tas beidzÄs Å”Ädi:
KÄ tas viss sÄkÄs un par ko tas ir?
SpÄle sÄkÄs 12. augustÄ, kad ievietojÄm emuÄrÄ ar video, kurÄ hakeris galvaskausa formÄ piedÄvÄ uzspÄlÄt spÄli, iznÄ«cinÄt serveri, izraisÄ«t telpÄ Ä«ssavienojumu (nu vai mini ugunsgrÄku) un paÅemt atlikuÅ”o naudu smalcinÄtÄjÄ.
Tie bija tieÅ”saistes meklÄjumi: mÄs uzsÄkÄm YouTube apraidi no telpas, kas bija piepildÄ«ta ar iot ierÄ«cÄm, zem gultas servera (kurÅ” bija jÄiznÄ«cina), un virs servera tika nostiprinÄts akvÄrijs un virs tÄ karÄjÄs svars. Lai spÄli padarÄ«tu piesÄtinÄtÄku, nolÄmÄm izveidot balvu fondu 200 000 rubļu apmÄrÄ, ko ielÄdÄjÄm smalcinÄtÄjÄ un likÄm ieslÄgties ik pÄc 60 minÅ«tÄm. Katru stundu smalcinÄtÄjs apÄda 1000 rubļu - jo ÄtrÄk spÄlÄtÄji to apturÄs, jo vairÄk naudas viÅi laimÄs.
Å Ä« kvesta veidoÅ”ana bija uzdevums pats par sevi ā mums bija jÄÄd tikai Ädiens un jÄguļ vairÄkas stundas dienÄ tieÅ”i tajÄ paÅ”Ä telpÄ. TaÄu pats pÄrsteidzoÅ”Äkais bija vÄrot spÄlÄtÄju domu lidojumu un emocionÄlo ietekmi Å”ajÄ procesÄ.
Ja godÄ«gi, spÄlÄtÄju atjautÄ«ba mÄ«klu risinÄÅ”anÄ neskaitÄmas reizes pÄrsniedza mÅ«su pieticÄ«go priekÅ”statu: katru brÄ«vo minÅ«ti lasÄ«jÄm nesaskaÅu Äatu un dažos gadÄ«jumos burtiski raudÄjÄm no smiekliem, uzzinot, ko spÄlÄtÄji dara un kÄ jokoja. process.
Pie projekta nenogurstoÅ”i strÄdÄja 7 cilvÄki: aizmugure, datortehnikas speciÄlists, Ä«sts filmu producents, CG dizainers un divi ideoloÄ£iski kopproducenti.
MÄs jums pastÄstÄ«sim turpmÄkajos ierakstos, kÄ tieÅ”i kvests tika Ä«stenots no tehniskÄ viedokļa, bet pagaidÄm es jums pastÄstÄ«Å”u risinÄjumu: kÄ tieÅ”i bija nepiecieÅ”ams uzlauzt Å”o istabu raidÄ«jumÄ. TajÄ paÅ”Ä laikÄ atcerÄsimies notikumu hronoloÄ£iju, kÄ arÄ« visas trakÄs Illuminati teorijas no nesaskaÅu tÄrzÄÅ”anas, un viss.
Kas spÄlÄtÄjiem bija spÄles sÄkumÄ?
Visi telpÄ esoÅ”ie objekti tika sadalÄ«ti trÄ«s kategorijÄs:
- Viegli lietojamas iot ierÄ«ces, kas nav paredzÄtas spÄlÄm
- SpÄļu ierÄ«ces uzdevuma izpildei
- Entourage
MÄs ievietojÄm 8 ļoti viegli pÄrvaldÄmus elementus: divas lampas, vienu vÄ«tni, piecus FALCON burtus, no kuriem katrs varÄja mainÄ«t krÄsu. To visu varÄja ieslÄgt/izslÄgt tieÅ”i no mÄjas lapas un uzreiz redzÄt rezultÄtu raidÄ«jumÄ ā mÄs speciÄli padarÄ«jÄm tos pieejamus visiem spÄlÄtÄjiem neatkarÄ«gi no viÅu tehniskÄs gudrÄ«bas lÄ«meÅa.
Viss, kas vienkÄrÅ”i tika iekļauts no vietnes
No svarÄ«gajiem spÄles elementiem, kas bija nepiecieÅ”ami, lai pabeigtu uzdevumu un kuriem piekļūt nebija tik viegli:
- Serveris ar atvÄrtu vÄku un akvÄriju virs tÄ
- Svars apturÄts, lai salauztu akvÄriju
- Megatron 3000 - jaudÄ«gs lÄzera rÄdÄ«tÄjs, kas vÄrsts uz virvi, kas notur svaru
- SpÄcÄ«gs ventilators, kas ieslÄdzÄs, kad serveris bija noslogots
- TÄfele, uz kuras tika uzrakstÄ«ts Megatron pieteikumvÄrds un parole
- TÄlrunis, uz kuru varat piezvanÄ«t un redzÄt savu zvanu tieÅ”raidÄ
- SmalcinÄtÄjs, kurÅ” Äda 1000 rubļu banknotes stundÄ
KÄ tieÅ”i uzdevums tika atrisinÄts?
Es teikÅ”u uzreiz: zÄrks atvÄrÄs pavisam vienkÄrÅ”i.
SpÄles mÄrÄ·is bija apturÄt smalcinÄtÄju, izraisot Ä«ssavienojumu telpÄ. Lai to izdarÄ«tu, bija nepiecieÅ”ams salauzt akvÄriju, iemetot tajÄ svaru un piepildÄ«t serveri ar Å«deni. Svars tika turÄts uz auklas, uz kuru Megatrons tÄmÄja. PÄrÅemot Megatron vadÄ«bu, virvi varÄja pÄrgriezt. Tas tika izdarÄ«ts 5 vienkÄrÅ”Äs darbÄ«bÄs:
Solis 1. IelÄdÄjiet serveri telpÄ
PiemÄram, pakeÅ”u nosÅ«tÄ«Å”ana ar komandu.
ab -r -n 10000 -c 100 -s 280 -l https://ws.ooosokol.ru/captchaMÄjiens bija ļoti noslogots par .
TÄ pati captcha, kurai vajadzÄja uzbrukt
Kad serveris tika ielÄdÄts, tÄ temperatÅ«ra paaugstinÄjÄs, un to varÄja uzraudzÄ«t uzraudzÄ«bas sistÄmÄ, kas atvÄrta tieÅ”i kameras priekÅ”Ä. PÄc tam ieslÄdzÄs ventilators, kas uz tÄfeles atvÄra gaismas aizkaru. PÄc tam tika atvÄrts pieteikumvÄrds un parole, lai piekļūtu Megatron lapai, kas ierakstÄ«ti uz tÄfeles.
Un paÅ”u Megatron pÄrvaldÄ«bas lapu varÄja atrast, pÄrbaudot visus domÄnam ooosokol.ru izsniegtos sertifikÄtus.
ApakÅ”domÄnÄ bija Megatron kontroles lapa. Bet tas tika atvÄrts tikai tad, kad Megatron tika piegÄdÄts ar primÄro enerÄ£iju.
SpÄlÄtÄji gandrÄ«z uzreiz izgÄja visus Å”os posmus raidÄ«juma komentÄros vietnÄ YouTube. Tad uzdevumi kļuva sarežģītÄki un spÄlÄtÄji izveidoja RUVDS Hack Room discord serveri un turpinÄja diskusiju tur.
2. darbÄ«ba: pievienojiet Megatron primÄro jaudu
VisÄm viedierÄ«cÄm, kuras tika vadÄ«tas no vietnes (tÄs paÅ”as lampas, kuras spÄlÄtÄji ieslÄdza un izslÄdza neapstÄjoties), bija savi identifikatori.
Lai piegÄdÄtu Megatron primÄro strÄvu un vienlaikus to apgaismotu, biroja vadÄ«bas lapÄ bija jÄatrod un jÄieslÄdz slÄptÄ ierÄ«ce.
Lai to izdarÄ«tu, jums bija jÄaplÅ«ko ierÄ«Äu identifikatori un jÄpamana, ka kopÄ ir 4 ierÄ«ces, bet vietnÄ ir pieejamas tikai 3.
Kad tika ieslÄgta 4. ierÄ«ce, kļuva pieejama Megatron lapa un tika izcelts pats lÄzers. Bet tajÄ paÅ”Ä laikÄ nebija iespÄjams noÅ”aut lÄzeru, un tas Bija ziÅa, ka lÄzers vÄl nav pieejams, un mÄjiens: birojÄ izveidojies sastrÄgums, jÄzvana apsaimniekoÅ”anas sabiedrÄ«bai un jÄlÅ«dz strÄva.
Padoms par pÄrvaldÄ«bas sabiedrÄ«bu
3. Zvaniet pÄrvaldÄ«bas sabiedrÄ«bai un lÅ«dziet ieslÄgt Megatron strÄvu
PÄc LOR teiktÄ, Megatron nevarÄja Å”aut, jo birojÄ tika izsisti sastrÄgumi. AtslÄgt strÄvu varÄja tikai pÄrvaldÄ«bas sabiedrÄ«ba, ar kuru bija jÄsazinÄs un jÄnorÄda kÄ LLC Ä«paÅ”nieks.
PÄrvaldÄ«bas uzÅÄmuma numuru bija viegli atrast - mÄs to ievietojÄm tieÅ”i kÄjenÄ.
TaÄu identifikÄcija bija daudz grÅ«tÄka.
Zvanot uz numuru +74991130688, klausuli pacÄla sieviete operatore un garlaikotÄ balsÄ« jautÄja uzÅÄmuma INN un Ä«paÅ”nieka pilnu vÄrdu. Bez tÄ viÅa atteicÄs ieslÄgt strÄvu un skaidroja to ar to, ka viÅa ir parasta Ärpakalpojuma vadÄ«bas telpa, viÅiem ir 2000 klientu un biroju, un bez Ŕīs informÄcijas vienkÄrÅ”i nav iespÄjams atrast vajadzÄ«go.
Å is spÄlÄtÄjiem izrÄdÄ«jÄs grÅ«tÄkais posms. PareizÄ TIN un Ä«paÅ”nieka vÄrda atraÅ”ana aizÅÄma gandrÄ«z divas dienas, un Å”ajÄ laikÄ es (kuru pÄrstÄv vadÄ«bas telpas operators) saÅÄmu vairÄk nekÄ 400 zvanu. TÄlrunis zvanÄ«ja ik pÄc 2-3 minÅ«tÄm.
PuiÅ”i raka, kÄ varÄja. Viss tika izmantots: viÅi izÄ·idÄja vietnes avota kodu, Google meklÄja vietnes Ä«paÅ”nieku Sokolovu un meklÄja sociÄlajos tÄ«klos.
ViÅi meklÄja dažÄdu uzÅÄmumu nodokļu identifikÄcijas numurus
GandrÄ«z pilnÄ«ga meklÄÅ”anas shÄma
KÄdÄ brÄ«dÄ« viÅi pat zvanÄ«ja ar viltotu numuru - it kÄ zvanÄ«tu no Sokol uzÅÄmuma biroja, kas norÄdÄ«ts kÄjenÄ.
Tad mÄs uzzinÄjÄm, cik daudz uzÅÄmumu ir nosaukti Sokol. GandrÄ«z katrs no Å”iem uzÅÄmumiem saÅÄma zvanus no spÄlÄtÄjiem, taÄu tas nebija nekas, salÄ«dzinot ar vietnes pieredzi , no kura mÄs faktiski nopirkÄm to paÅ”u Megatron apmÄram pirms mÄneÅ”a.
PirmkÄrt, nesaskaÅas uzbruka Lasersmasters atbalstam.
Tad mÄs tur atradÄm kÄda lietotÄja kontu! KamÄr Lasermasters atbalsts jau ir pÄrstÄjis taupÄ«t uz izteiksmÄm.
UzmanÄ«bu, turiet bÄrnus prom no ekrÄna
Galu galÄ Lasermasters nolÄma viÅus vienkÄrÅ”i nokaitinÄt, un viÅu vietne avarÄja. TÄpat kÄ mums izdevÄs nolikt Sokol vietni, lai gan mÄs to Ätri pacÄlÄm.
IzmeklÄÅ”anas laikÄ puiÅ”i no nesaskaÅÄm pat atrada aktieri, kura fotogrÄfiju nopirkÄm no akcijÄm, lai viÅÅ” spÄlÄtu galvenÄ antagonista, SIA Ä«paÅ”nieka Andreja Sokolova lomu. IzrÄdÄ«jÄs, ka viÅu sauc Jurijs un viÅam absolÅ«ti nav ne jausmas, kÄdÄ bardakÄ viÅÅ” iekļuvis.
Andrejs Sokolovs, spÄles varonis
Jurijs, modelis
Ja vien viÅÅ” zinÄtu, kÄ piespieda 600 cilvÄkus divas dienas negulÄt...)
Tad viÅi sÄka rakt speciÄli man, kÄ kvesta organizatoram (kas ļoti labi varÄja beigties ar panÄkumiem, ja puiÅ”i bÅ«tu uzminÄjuÅ”i uzlauzt manus darba kanÄlus).
Es pat mazliet uztraucos, kad viÅi nosauca manu uzvÄrdu un pat manu nodokļu maksÄtÄja identifikÄcijas numuru. Bet tas bija atvieglots, kad, kamÄr bojÄtais tÄlrunis darbojÄs, man pÄkÅ”Åi parÄdÄ«jÄs vecÄks brÄlis, kurÅ” pÄkÅ”Åi izrÄdÄ«jÄs Habra tehniskais direktors.
Mans dÄrgais brÄlis, kurÅ” arÄ« cieta
TikmÄr minÄjumi kļuva arvien neticamÄki
Un tas nonÄca pie Illuminati teorijÄm.
SulÄ«gÄkÄs sazvÄrestÄ«bas teorijas attiecÄs uz SÅ«kli Bobu, Hariju Poteru un Ä·Ä«nieÅ”u diodes vÄ«tnes mirgoÅ”anu, ko ievietojÄm sistÄmas blokÄ.
JÅ«s sakÄt, no kurienes ir SÅ«klis Bobs un Harijs Poters? MÄs ievietojÄm viÅu adreses Sokol kontaktu lapÄ, un tas izraisÄ«ja daudz spekulÄciju nesaskaÅu sabiedrÄ«bÄ. Lai gan mÄs vienkÄrÅ”i vÄlÄjÄmies izrÄdÄ«t cieÅu saviem mīļÄkajiem bÄrnÄ«bas darbiem.
TÄ pati atsauce lapÄ ""
Un rezultÄtÄ
IzrÄdÄ«jÄs, ka sÄrijÄ patieÅ”Äm ir SÅ«kļa Boba dokumenti. Tos sauca par TIN
Viena no sarežģītÄkajÄm teorijÄm bija tÄda, ka mirgojoÅ”Ä Ä·Ä«nieÅ”u vÄ«tne satur ziÅojumu Morzes ÄbecÄ.
MirgoÅ”ana tika ierakstÄ«ta un mÄÄ£inÄta to atÅ”ifrÄt
VienkÄrÅ”Äka teorija ir tÄda, ka puiÅ”i mÄÄ£inÄja noskaidrot, vai pavediens nav paslÄpts kÄrtÄ«s.
Pa ceļam mÅ«s salÄ«dzinÄja ar ā nepelnÄ«ti augsts vÄrtÄjums, bet tomÄr patÄ«kami.
SpÄlÄtÄji ar visu spÄku izmÄÄ£inÄja sociÄlo inženieriju. Man piezvanÄ«ja FSB aizsegÄ, ugunsdzÄsÄji, pats Sokolovs, viÅa bijusÄ« sieva un apsargs, kurÅ” it kÄ sÄž lejÄ. ViÅi stÄstÄ«ja, ka izcÄlies ugunsgrÄks, kÄds ir iestrÄdzis liftÄ, un sirdi plosoÅ”Äkais stÄsts bija par to, ka izsaucÄja suns esot sÄdÄjis birojÄ un apÅemts ugunÄ«.
Bija arÄ« kukuļdoÅ”anas mÄÄ£inÄjumi
LÄnÄm ÄatÄ sÄka parÄdÄ«ties manis paÅ”as mÄmi.
Å eit ir pÄris
TikmÄr rÅ«pnÄ«cas stÄvÄja dÄ«kstÄvÄ
MÄjiens
Naudas smalcinÄtÄjÄ palika arvien mazÄk. Lai uzvarÄtÄjs vismaz kaut ko iegÅ«tu, nolÄmÄm dot mÄjienu. TajÄ paÅ”Ä laikÄ, ievÄrojot spÄles dizaina noteikumus, celiet spriedzi tieÅ”i pirms finÄla.
AtseviŔķi MÄs ievietojÄm video emuÄrÄ. SÄkumÄ tika ievietots gabals no Fight Club kÄ atsauce uz Taileru DÄrdenu, kurÅ”, strÄdÄjot kinoteÄtros, domÄja par 25. kadra ievietoÅ”anu filmÄs.
MÄs nolÄmÄm izmantot to paÅ”u mehÄniku un 25. kadrÄ ievietojÄm mÄjienu, kÄ to izdarÄ«t pareizs TIN un Ä«paÅ”nieka pilns vÄrds.
PÄc tam puiÅ”i to ļoti Ätri saprata
4. darbÄ«ba. IzÅ”aujiet lÄzeru ne-kaujas režīmÄ
Kad pÄrvaldÄ«bas sabiedrÄ«ba piegÄdÄja strÄvu un pÄc kontaktdakÅ”u ieslÄgÅ”anas, Megatron ieslÄdzÄs un varÄja iedegties testa režīmÄ. Ievades veidlapÄ jau ir ievietots pÄrbaudes Å”Äviena marÄ·ieris.
Ik pÄc 25 sekundÄm tika Ä£enerÄts jauns marÄ·ieris, ko var izmantot, lai ieslÄgtu lÄzeru uz 10 sekundÄm ar jaudu 10/255
PÄc tam lÄzers uz 1 minÅ«ti atdzisa un tajÄ brÄ«dÄ« nebija pieejams un nepieÅÄma jaunus Å”Äviena pieprasÄ«jumus.
Å Ä« jauda bija pilnÄ«gi nepietiekama, lai izdegtu cauri virvei, taÄu jebkurÅ” spÄlÄtÄjs varÄja izÅ”aut no Megatron un redzÄt lÄzera staru darbÄ«bÄ.
SabiedrÄ«bas reakcija bija vairÄk nekÄ enerÄ£iska
TaÄu visi Ätri nomierinÄjÄs un saprata, ka ar to spÄle nebeidzas.
Tad sabiedrÄ«ba sÄka izdomÄt, kÄ palaist kaujas režīmu
prÄta vÄtra
Par nesaskaÅÄm ir viltojumi
MÄs raidÄ«jumÄ nezinÄjÄm, ka uz galda kÄjas ir kaut kas rakstÄ«ts
Kopiena ir nonÄkusi pie 4. darbÄ«bas. Izprotiet, kÄ tiek Ä£enerÄti marÄ·ieri: atrodiet bÅ«tÄ«bu un Ä£enerÄjiet marÄ·ieri, kas ieslÄdz lÄzeru kaujas režīmÄ
Megatron kaujas režīms ir 100% lÄzera jauda ar 3 vatiem. Tas ir pietiekami 2 minÅ«tes, lai izdegtu cauri virvei, kas turÄja svaru, salauztu akvÄriju un appludinÄtu serveri ar Å«deni.
MÄs esam atstÄjuÅ”i dažus padomus : proti, marÄ·iera Ä£enerÄÅ”anas kods, no kura varÄtu saprast, ka testa un kaujas marÄ·ieri tiek Ä£enerÄti, pamatojoties uz vienu un to paÅ”u skaitÄ«tÄja indikatoru. Kaujas žetona gadÄ«jumÄ papildus skaitÄ«tÄja vÄrtÄ«bai tiek izmantota arÄ« sÄls, kas gandrÄ«z pilnÄ«bÄ ir atstÄta Ŕīs bÅ«tÄ«bas izmaiÅu vÄsturÄ, izÅemot pÄdÄjos divus varoÅus.
KÄ visi Ätri uzminÄja, tas bija 42
BÅ«tÄ«bas komentÄros bija sarakste starp Andreju Sokolovu un izstrÄdÄtÄju (āgudro izstrÄdÄtÄjuā, kÄ viÅu sauca puiÅ”i no nesaskaÅÄm).
SarakstÄ Andrejs nosÅ«tÄ«ja vienu no kaujas žetoniem, un izstrÄdÄtÄjs atbildÄja, ka Å”is marÄ·ieris tika inicializÄts ar skaitÄ«tÄja vÄrtÄ«bu 42.
Zinot Å”os datus, bija iespÄjams Ŕķirot pÄdÄjos 2 sÄls simbolus un faktiski uzzinÄt, ka tam tika izmantoti skaitļi no Lost, kas pÄrveidoti heksadecimÄlajÄ sistÄmÄ.
PÄc tam spÄlÄtÄjiem bija jÄnoÄ·er skaitÄ«tÄja vÄrtÄ«ba (analizÄjot testa žetonu) un jÄÄ£enerÄ kaujas marÄ·ieris, izmantojot nÄkamo skaitÄ«tÄja vÄrtÄ«bu un iepriekÅ”ÄjÄ solÄ« atlasÄ«to sÄli.
SkaitÄ«tÄjs vienkÄrÅ”i palielinÄjÄs ar katru testa Å”Ävienu un ik pÄc 25 sekundÄm. MÄs par to nekur nerakstÄ«jÄm, tam vajadzÄja bÅ«t nelielam spÄles pÄrsteigumam. PuiÅ”i to ļoti Ätri saprata un palaida megatronu kaujas režīmÄ.
5. solis. LÄzera apdegums virvi
KÄ tas bija
Å eit viss ir vienkÄrÅ”i. NosÅ«tot kaujas marÄ·ieri, lÄzers pÄrvÄrstos kaujas režīmÄ, un telpa mainÄ«tos un pÄrietu uz "katastrofas režīmu", kÄ mÄs to saucÄm vispÄrÄjÄ scenÄrijÄ:
- Visas gaismas istabÄ tika izslÄgtas
- Iot ierÄ«Äu pogas vietnÄ kļuva nepieejamas
- MirgojoÅ”as gaismas un sirÄnas skaÅa
- Tika izgaismots sarkanais svars
- Televizora ekrÄnÄ sÄkÄs atpakaļskaitÄ«Å”ana, lÄ«dz lÄzers tika iedarbinÄts kaujas režīmÄ.
AtpakaļskaitÄ«Å”anai devÄm pusotru stundu, lai visiem, kas spÄlÄja, bÅ«tu laiks ieslÄgt pÄrraidi un redzÄt finÄlu. Un laba iemesla dÄļ: kamÄr es ar aizturÄtu elpu gaidÄ«ju trieciena skaÅu un stikla plÄ«sumus no blakus telpas, visa komanda, kas izveidoja uzdevumu, bez vÄrda runas sÄka doties uz bÄzi, lai redzÄtu beigas. paÅ”as acis. ViÅi vienkÄrÅ”i ieskrÄja istabÄ un sÄka apskaut.
TikmÄr par nesaskaÅÄm
PÄc laika atskaites lÄzers iedarbojÄs un divu minÅ«Å”u laikÄ izdega cauri virvei ā svars lidoja taisni akvÄrijÄ. Pirms trieciena uz ekrÄna kliedza traka kapibara, kas panikÄ pacÄla savas mazÄs Ä·epas.
TÄ kÄ tur bija sapulcÄjusies visa komanda, uzmetÄm nelielu ziÅu visiem, kuri divas dienas nesaskaÅÄs cÄ«nÄ«jÄs par finÄlu un devÄs atvÄrt Å”ampanieti:
KÄ mÄs aprÄÄ·inÄjÄm reklÄmas video palaiÅ”anas laiku un svara lidojumu?
PÄc desmitiem virves dedzinÄÅ”anas testu ar lÄzeru sapratÄm, ka tas ir ļoti neuzticams dizains - pussadegusi virve kļūst plÄnÄka, zem svara svara stiepjas, maina vietu, un lÄzers vairs nevar pÄrgriezt. to pilnÄ«bÄ.
TÄpÄc mÄs izvÄlÄjÄmies citu ceļu: mÄs dublÄjÄm izdegÅ”anu, aptinot virvi ar nihroma diegu. Caur vÄ«tni tika izlaista strÄva, tÄ kļuva sarkana karsta un apmÄram 2 sekunžu laikÄ izdega cauri virvei - tas ļÄva mums precÄ«zi saprast, kad jÄieslÄdz kliedzoÅ”Ä kapibara, jÄaptur starta taimeri un jÄuzsÄk reklÄma:
Kas mums nederÄja?
BeigÄs no sistÄmas bloka vajadzÄja nÄkt bieziem dÅ«miem, kÄ ugunsgrÄkÄ - sagatavojÄm dÅ«mu bumbas, tÄpat aizdedzinÄjÄm, bet nez kÄpÄc nestrÄdÄja (droÅ”i vien Å«dens dÄļ).
KurÅ” ir uzvarÄtÄjs?
IznÄca uzvarÄtÄjs ArkÄdijs Aleksejevs no SanktpÄterburgas - viÅÅ” pirmais Ä£enerÄja testa žetonu un laimÄja atlikuÅ”o naudu smalcinÄtÄjÄ 134 000 rubļu apmÄrÄ.
ÄŖsa intervija ar ArkÄdiju.
PastÄsti par sevi, ko tu dari darbÄ?
PÄc izglÄ«tÄ«bas esmu droŔības speciÄlists, ITMO absolvÄjis BIT. Es strÄdÄju kÄ Ärpakalpojumu pilnas kaudzes tÄ«mekļa izstrÄdÄtÄjs. SkolÄ piedalÄ«jos konkursos, tajÄ skaitÄ programmÄÅ”anÄ un matemÄtikÄ.
KÄ jÅ«s uzzinÄjÄt par spÄli?
Es devos uz Habru, lai izlasÄ«tu, ieraudzÄ«ju rakstu un sÄku interesÄties.
Cik stundas jÅ«s spÄlÄjÄt, kad pievienojÄties?
Pievienojos raksta publicÄÅ”anas dienas vakarÄ (t.i. vienu dienu pirms beigÄm). Es pavadÄ«ju vakaru un labu daļu no nÄkamÄs dienas.
Kas patika un kas nÄ?
KopumÄ man viss patika (protams, es uzvarÄju)), bet mani nedaudz satrauca zvani. Nu, piemÄram, zvanÄ«t un pÄrbaudÄ«t katru versiju kaut kÄ nebija Ä«paÅ”i labi, vismaz bija neÄrti - sapratu, ka joprojÄm zvana vairÄki desmiti, puse no viÅiem jokoja un mÄÄ£inÄja nodarboties ar sociÄlo inženieriju.
KÄ jÅ«s izdomÄjÄt, kÄ atrast Megatron kaujas žetonu?
Kad es ienÄcu, viÅi jau bija spamojuÅ”i serveri, bakstÄ«juÅ”i spuldzes, atraduÅ”i paroli lÄzera admin panelim, visÄdus apakÅ”domÄnus un lapas.
Bija arÄ« viegli atrast Github profilu un bÅ«tÄ«bu ar komentÄriem. No turienes ir acÄ«mredzams marÄ·iera Ä£enerÄÅ”anas process un tÄ noslÄpums. IMHO Å”Ädos meklÄjumos nav daudz jÄizgudro, jo jÅ«s varat noslÄ«kt notikumu attÄ«stÄ«bas iespÄju gÅ«zmÄ; un attiecÄ«gi jums ir jÄseko, kur meklÄjuma veidotÄjs jÅ«s spiež.
Å emot vÄrÄ atlikuÅ”os apakÅ”domÄnus un testa vietu uz tildes, bija skaidrs, ka pÄc lÄzera baroÅ”anas bÅ«s jÄizvÄlas marÄ·ieris. AttiecÄ«gi tajÄ paÅ”Ä vakarÄ es ieskicÄtu aptuveno pieprasÄ«jumu ieslÄgt lÄzeru (pamatojoties uz 4 pieejamajÄm formÄm: 1 darba vietÄ un 3 uz testa/veco) un mÄÄ£inÄju brutÄt ar darba žetoniem, sÄkot no 42 (nu, muļķim - pÄkÅ”Åi viss jau ir iespÄjots, un lapa ar marÄ·iera nosÅ«tÄ«Å”anu vienkÄrÅ”i tiks atvÄrta pÄc TIN un pilna vÄrda).
Es neesmu pÄrliecinÄts, ka pieprasÄ«jums bija pareizs, jo nebija laika pÄrbaudÄ«t (galu galÄ bija iespÄjams tikai pÄrbaudÄ«t, vai lÄzers ir ieslÄgts), bet es iepriekÅ” gatavojos marÄ·iera meklÄÅ”anai.
Bija arÄ« acÄ«mredzama loÄ£ika ar tÄ«mekļa ligzdÄm un ierÄ«Äu pÄrvaldÄ«bu failÄ app.js. SÅ«tot jaudu, bija trekns mÄjiens uz a9 ierÄ«ci: patiesi, kurai avarÄja ligzda. Es mÄÄ£inÄju uz to nosÅ«tÄ«t visu - jÅ«s nekad zinÄt, varÄtu bÅ«t papildu ierÄ«ce TIN atrisinÄÅ”anai, bet neveiksmÄ«gi.
Tad es pÄrmeklÄju pÄrÄjos ID failus blakus tiem desmit, bet visur bija nezinÄma ierÄ«ce. MÄÄ£inÄju arÄ« visÄdas lietas googlÄt, kÄpt tÄlÄk [e-pasts aizsargÄts], nosÅ«tÄ«ja visu cenrÄža lapÄ esoÅ”ajÄ formÄ, ar lÄzermeistariem paveica rakÅ”anas darbus, bet viss bez panÄkumiem. NÄkamajÄ dienÄ sÄdÄju ÄatÄ, googlÄju visÄdas lietas, tad uznÄca stego tÄma un konsultÄjos ar stegosolve cilvÄku par bildÄm un gifiem (bet garÄ«gi sapratu, ka 99% laika tur nekÄ nebija, jo tas bÅ«tu par daudz + pretruna ar galveno kvestu lÄ«niju) .
Bet beigÄs arÄ« es pÄris stundas pasÄdÄju un rakÅÄjos pa visÄm bildÄm un gifiem. Es zvanÄ«ju vÄl pÄris reizes ar dažÄdÄm TIN opcijÄm, bet tas nedarbojÄs. Tad es nolÄmu no tÄ atteikties, bet viÅi tur ievietoja mÄjienu - un kļuva skaidrs, ka tuvÄkajÄ laikÄ tiks atrasts nodokļu maksÄtÄja identifikÄcijas numurs (TIN), kas arÄ« notika. Tad vai nu es, vai kÄds cits (tas nav acÄ«mredzams) nosÅ«tÄ«ja jaudu: patiesi a9 ierÄ«cei un lÄzers sÄka darboties, lai gan varbÅ«t nebija savienojuma un tas sÄka darboties tikai pÄc TIN. KopumÄ es iegÄju lÄzera administratora panelÄ« un biju diezgan pÄrsteigts, jo serveris pats nosÅ«tÄ«ja tokenu (un es jau gatavojos brutÄt). Kļuva skaidrs, ka marÄ·ieris ir pÄrbaudes lÄ«dzeklis, jo raidÄ«jums + veselais saprÄts + es to pÄrbaudÄ«ju.
Kods saturÄja loÄ£iku, ka darba marÄ·ieris kaut kur tika nosÅ«tÄ«ts kÄ paziÅojums, bet acÄ«mredzot vai nu tas bija nepareizs kods, vai arÄ« tas bija vajadzÄ«gs citÄm sistÄmas daļÄm. Es izstrÄdÄju skriptu, lai iegÅ«tu paÅ”reizÄjo darba marÄ·ieri no paÅ”reizÄjÄ testa, un sÄku sÄdÄt uz f5, mÄÄ£inot tos nosÅ«tÄ«t - ar to radÄs problÄmas, jo visi pastÄvÄ«gi bakstÄ«ja sÅ«tÄ«Å”anas pogu, tÄdÄjÄdi, ja iespÄjams, mainot marÄ·ieri. Tad vietne avarÄja, skaitÄ«tÄjs tika atiestatÄ«ts, taÄu tas nav galvenais - pÄc kÄda laika es nosÅ«tÄ«ju darba marÄ·ieri. TeorÄtiski skaitÄ«tÄjs bija 58 un ŃŠ¾ŠŗŠµŠ½ Š±ŃŠ» 449a776938f7ce4cf19f8603045dca0f aktivizÄcijas brÄ«dÄ«, ja nemaldos. Tas ir viss.
Tad es mazliet apdegu no komentÄriem, piemÄram, "jÄ, tas viss ir triviÄli, bet man vienkÄrÅ”i paveicÄs." Nu, ja dodaties uz lapu, minÅ«ti padomÄjat, pÄris minÅ«tÄs uzrakstiet skriptu, pÄrbaudiet to - tad jÄ, tas ir triviÄli. Bet es to izdarÄ«ju 10ā20 sekundÄs, un tad es vienkÄrÅ”i nevarÄju nosÅ«tÄ«t žetonu vairÄkas minÅ«tes.
Protams, jÅ«s varÄtu mÄÄ£inÄt uzrakstÄ«t loÄ£iku, lai to paÅemtu un automÄtiski nosÅ«tÄ«tu, taÄu tas aizÅemtu ilgÄku laiku un radÄ«tu lielu risku, turklÄt mÄkonis, iespÄjams, sÄktu zvÄrÄt. Man patieÅ”Äm paveicÄs pats pÄdÄjais posms - daži algoritmi Ätrumam + reakcijas Ätrums, Å”is ir tikai mans. Ja bÅ«tu bijis uzdevums tieÅ”i no pentesta, es, visticamÄk, nebÅ«tu kļuvis par pirmo.
Bet tas vÄl nav beidzies
Es nevaru vien sagaidÄ«t, kad varÄÅ”u pastÄstÄ«t par apbrÄ«nojamo komandu, kas uzbÅ«vÄja Å”o bÄgÅ”anas istabu, un visiem viÅu izstrÄdÄtajiem inženiertehniskajiem risinÄjumiem. Bet Ŕī ziÅa jau ir izrÄdÄ«jusies pÄrÄk liela - tÄpÄc par to bÅ«s atseviŔķi raksti, tÄpÄc sekojiet lÄ«dzi informÄcijai un abonÄjiet mÅ«su emuÄru vietnÄ HabrĆ©.
Avots: www.habr.com