Ftit tal-jiem ilu lestejna wieħed mill-avvenimenti l-aktar iċċarġjati emozzjonalment li kellna x-xorti nospitaw bħala parti mill-blog - logħba online tal-hacker b'qerda ta' server.
Ir-riżultati qabżu l-aspettattivi kollha tagħna: il-parteċipanti mhux biss ħadu sehem, iżda malajr organizzaw lilhom infushom f'komunità kkoordinata tajjeb ta '620 persuna fuq Discord, li litteralment ħadu t-tfittxija minn tempesta f'jumejn mingħajr waqfa għall-irqad.
U hekk spiċċat:
Kif beda kollox u dwar xiex?
Il-logħba bdiet fit-12 ta’ Awwissu meta ppubblikajna fuq il-blog b'video li fih hacker fil-forma ta 'kranju joffri li jilgħab logħba, jeqred is-server, jikkawża short circuit fil-kamra (tajjeb, jew mini-nar) u jieħu l-flus li jifdal fil-shredder.
Kienet tfittxija onlajn: nedejna xandira fuq YouTube minn kamra li kienet mimlija b'apparat iot, server taħt is-sodda (li kellu jiġi meqrud), u akkwarju ġie ffissat fuq is-server u piż imdendel fuqu. Biex il-logħba tkun aktar mimlija azzjoni, iddeċidejna li nagħmlu fond ta' premju ta' 200 rublu, li għabbejna fit-shredder u poġġieh biex jinxtegħel kull 000 minuta. Kull siegħa t-tqattigħ kiel 60 rublu - aktar ma l-plejers waqqfuha malajr, aktar flus jirbħu.
Il-bini ta’ din it-tfittxija kienet tfittxija fiha nnifisha – kellna nieklu biss ikel u torqod għal diversi sigħat kuljum dritt fl-istess kamra. Iżda l-aktar ħaġa tal-għaġeb kienet li naraw it-titjira tal-ħsieb tal-plejers u l-impatt emozzjonali tagħhom fil-proċess.
Biex inkun onest, l-għerf tal-plejers biex isolvu l-puzzles qabżet l-idea modesta tagħna ħafna drabi: kull minuta b’xejn naqraw id-discord chat u f’xi każijiet litteralment bkijna bid-daħk, insiru nafu x’kienu jagħmlu l-plejers u kif iċċajtaw. il-proċess.
7 persuni ħadmu bla heda fuq il-proġett: backender, speċjalista tal-ħardwer, produttur tal-films reali, disinjatur CG u żewġ ko-produtturi ideoloġiċi.
Aħna se ngħidulek fil-postijiet li ġejjin eżattament kif it-tfittxija ġiet implimentata mill-aspett tekniku, iżda għalissa se ngħidlek is-soluzzjoni: kif eżattament kien meħtieġ li din il-kamra tiġi hackjata fix-xandir. Fl-istess ħin, ejja niftakru l-kronoloġija tal-avvenimenti, kif ukoll it-teoriji kollha tal-Illuminati miġnun mill-chat tad-discord u dak hu.
X'kellhom il-plejers fil-bidu tal-logħba?
L-oġġetti kollha fil-kamra kienu maqsuma fi tliet kategoriji:
- Faċli biex tużah, tagħmir iot mhux tal-logħob
- Apparat tal-logħob għat-tlestija tat-tfittxija
- Entourage
Poġġejna 8 elementi faċli ħafna biex jiġu mmaniġġjati: żewġ lampi, girland wieħed, ħames ittri FALCON, li kull waħda minnhom setgħet tinbidel bil-kulur. Dan kollu seta' jinxtegħel/itfi direttament mill-websajt u immedjatament jara r-riżultat fuq ix-xandira - għamilnihom speċifikament disponibbli għall-plejers kollha, irrispettivament mil-livell ta' għarfien tekniku tagħhom.
Dak kollu li kien sempliċement inkluż mis-sit
Mill-elementi importanti tal-logħba li kienu meħtieġa biex titlesta t-tfittxija, u l-aċċess għalihom ma kienx daqshekk faċli biex jinkiseb:
- Server b'għatu miftuħ u akkwarju fuqu
- Piż sospiż biex tkisser akkwarju
- Megatron 3000 - laser pointer b'saħħtu mmirat lejn il-ħabel li jżomm il-piż
- Fann qawwi li beda meta s-server kien taħt tagħbija
- Flipchart li fuqha nkitbu l-login u l-password għal Megatron
- Telefon li tista' ċċempel u tara s-sejħa tiegħek live
- It-tqattigħ li kiel karti ta '1000 rublu fis-siegħa
Kif ġiet solvuta eżattament it-tfittxija?
Jien ngħid mill-ewwel: il-kaxx infetaħ pjuttost sempliċi.
L-għan tal-logħba kien li twaqqaf it-shredder billi tikkawża short circuit fil-kamra. Biex tagħmel dan, kien meħtieġ li tkisser l-akkwarju billi titfa 'piż fih u timla s-server bl-ilma. Il-piż kien miżmum fuq korda li Megatron kien qed jimmira lejha. Billi tieħu l-kontroll ta 'Megatron, il-ħabel jista' jinqata '. Dan sar f'5 passi sempliċi:
Pass 1. Tagħbija s-server fil-kamra
Per eżempju, tibgħat pakketti bi kmand.
ab -r -n 10000 -c 100 -s 280 -l https://ws.ooosokol.ru/captchaIl-ħjiel kien tagħbija ħafna fuq .
L-istess captcha li kellu bżonn jiġi attakkat
Meta s-server kien mgħobbi, it-temperatura tiegħu żdiedet u dan jista 'jiġi mmonitorjat fuq is-sistema ta' monitoraġġ miftuħa direttament quddiem il-kamera. Imbagħad il-fann mixgħul, li fetaħ purtiera ħafifa fuq il-flipchart. Imbagħad il-login u l-password għall-aċċess għall-paġna ta 'Megatron, miktuba fuq il-bord, infetħu.
U l-paġna ta 'ġestjoni ta' Megatron nnifisha tista 'tinstab billi tiċċekkja ċ-ċertifikati kollha maħruġa għad-dominju ooosokol.ru.
Fuq sottodominju kien hemm paġna ta 'kontroll Megatron. Iżda ma fetaħx sakemm Megatron ġie fornut b'enerġija primarja.
Il-plejers għaddew minn dawn l-istadji kollha kważi immedjatament fil-kummenti tax-xandira fuq YouTube. Imbagħad il-kompiti saru aktar ikkumplikati u l-plejers ħolqu s-server ta 'discord RUVDS Hack Room u komplew id-diskussjoni hemmhekk.
Pass 2: Applika l-Enerġija Primarja għal Megatron
L-apparati intelliġenti kollha kkontrollati mis-sit (l-istess lampi li l-plejers xegħlu u jitfu mingħajr ma jieqfu) kellhom l-identifikaturi tagħhom stess.
Biex tforni l-enerġija primarja lil Megatron u fl-istess ħin iddawwalha, kien meħtieġ li ssib u tixgħel apparat moħbi fuq il-paġna tal-ġestjoni tal-uffiċċju.
Biex tagħmel dan, kellek tħares lejn l-identifikaturi tat-tagħmir u tinnota li hemm 4 apparati b'kollox, iżda 3 biss huma disponibbli fuq is-sit.
Meta l-apparat 4 kien mixgħul, il-paġna Megatron saret disponibbli u l-laser innifsu ġie enfasizzat. Iżda fl-istess ħin kien impossibbli li jisparaw laser, u dan Kien hemm messaġġ li l-lejżer kien għadu mhux disponibbli u ħjiel: kien hemm ġamm tat-traffiku fl-uffiċċju, trid iċempel lill-kumpanija tal-maniġment u titlob enerġija.
Ħjiel dwar il-kumpanija tal-maniġment
3. Ċempel lill-kumpanija tal-ġestjoni u staqsi biex tixgħel il-qawwa ta 'Megatron
Skont l-ENT, Megatron ma setax jispara minħabba li l-konġestjonijiet tat-traffiku fl-uffiċċju ġew knocked out. Il-kumpanija tal-maniġment biss setgħet iddawwar l-enerġija mill-ġdid, li kellha tiġi kkuntattjata u identifikata bħala s-sid tal-LLC.
Kien faċli li ssib in-numru tal-kumpanija tal-maniġment - daħħalnieh direttament fil-footer.
Iżda l-identifikazzjoni kienet ħafna aktar diffiċli.
Meta ċemplet in-numru +74991130688, operatur mara qabdet it-telefon u b’vuċi mdejqa talbet l-INN tal-kumpanija u l-isem sħiħ tas-sid. Mingħajr dan, hija rrifjutat li tixgħel il-qawwa u spjegat dan bil-fatt li hija kamra tal-kontroll esterna ordinarja, għandhom 2000 klijent u uffiċċji, u mingħajr din l-informazzjoni huwa sempliċement impossibbli li ssib dak li għandhom bżonn.
Dan irriżulta li kien l-aktar stadju diffiċli għall-plejers. Damet kważi jumejn biex issib it-TIN korrett u l-isem sħiħ tas-sid, u jien (rappreżentat mill-operatur tal-kamra tal-kontroll) irċevejt aktar minn 400 telefonata matul dan iż-żmien. It-telefon daqq kull 2-3 minuti.
Il-ġuvini ħaffru kif setgħu. Kollox kien użat: huma mnaddaf il-kodiċi tas-sors tas-sit, Googled is-sid tas-sit Sokolov, u fittxew permezz ta 'netwerks soċjali.
Huma kienu qed ifittxu numri ta 'identifikazzjoni tat-taxxa ta' kumpaniji differenti
Skema ta' tfittxija kważi kompluta
F'xi ħin anke ċempel b'numru spoofed - bħallikieku kienu qed iċemplu mill-uffiċċju tal-kumpanija Sokol elenkat fil-footer.
Imbagħad tgħallimna kemm kumpaniji jisimhom Sokol. Kważi kull waħda minn dawn il-kumpaniji rċeviet telefonati minn plejers, iżda dan ma kien xejn meta mqabbel ma 'dak li esperjenza s-sit , mingħand min fil-fatt xtrajna dak l-istess Megatron madwar xahar ilu.
L-ewwel, id-diskord attakkat l-appoġġ tal-Lasersmasters.
Imbagħad stajna nsibu kont ta’ xi ħadd hemmhekk! Filwaqt li l-appoġġ tal-Lasermasters diġà waqaf skimp fuq l-espressjonijiet.
Attenzjoni, żomm lit-tfal 'il bogħod mill-iskrin
Fl-aħħar, Lasermasters iddeċidew li jdejquhom biss u s-sit tagħhom ġġarraf. Hekk kif irnexxielna npoġġu s-sit tas-Sokol, għalkemm malajr qajjnieh.
Matul l-investigazzjoni, il-guys mid-discord saħansitra sabu attur, li r-ritratt tiegħu xtrajna mill-istokks, sabiex ikollu r-rwol tal-antagonist ewlieni, is-sid tal-LLC Andrei Sokolov. Irriżulta li jismu Yuri u m’għandu assolutament l-ebda idea f’liema tip ta’ mess daħal fih.
Andrey Sokolov, karattru tal-logħba
Yuri, mudell
Kieku kien jaf kif ġiegħel lil 600 ruħ ma jorqdux jumejn...)
Imbagħad bdew iħaffru speċifikament għalija, bħala l-organizzatur tat-tfittxija (li seta 'tajjeb ħafna spiċċat f'suċċess jekk il-guys kienu guessed li hack kanali tax-xogħol tiegħi).
Saħansitra inkwetajt xi ftit meta semmew il-patronimiku tiegħi u anke n-Numru ta’ Identifikazzjoni tal-Patrin tat-Taxxa. Imma ħelset meta, waqt li t-telefon bil-ħsara kien qed jaħdem, f’daqqa waħda kelli ħu anzjan, li f’daqqa waħda rriżulta li kien id-direttur tekniku ta’ Habr.
Għeżież ħu, li wkoll bata
Sadanittant, il-guesses saru aktar u aktar inkredibbli
U wasal għat-teoriji Illuminati.
L-aktar teoriji tal-konspirazzjoni mmerraq kienu jikkonċernaw SpongeBob, Harry Potter u t-teptip tal-girlanda tad-dijodu Ċiniża li poġġejna ġewwa l-unità tas-sistema.
Minn fejn huma SpongeBob u Harry Potter, tgħid? Poġġejna l-indirizzi tagħhom fil-paġna ta’ kuntatt ta’ Sokol u dan wassal għal ħafna spekulazzjoni fil-komunità tad-discord. Għalkemm ridna biss nagħtu ġieħ lix-xogħlijiet favoriti tagħna tat-tfulija.
L-istess referenza fil-paġna ""
U bħala riżultat
Irriżulta li verament hemm dokumenti SpongeBob fis-serje. Kienu msejħa bħala TIN
Waħda mill-aktar teoriji kumplessi kienet li l-girlanda Ċiniża teptip fiha messaġġ fil-kodiċi Morse.
It-teptip ġie rreġistrat u ppruvat jiġi deċifrat
Teorija aktar sempliċi hija li l-guys ippruvaw biex insemmu jekk il-ħjiel kienx moħbi fil-karti.
Tul it-triq konna mqabbla ma ' — klassifikazzjoni għolja mhux mistħoqqa, iżda xorta pjaċevoli.
Il-plejers ppruvaw l-inġinerija soċjali bil-qawwa kollha tagħhom. Sejħuli taħt l-iskuża tal-FSB, pompieri, Sokolov innifsu, l-eks-mara tiegħu u l-gwardjan tas-sigurtà li allegatament joqgħod isfel. Qalu li kien beda n-nar, xi ħadd kien imwaħħal fil-lift, u l-aktar storja ta’ qsim il-qalb kienet li l-kelb ta’ min iċempel suppost kien bilqiegħda fl-uffiċċju, maħkum fin-nar.
Kien hemm ukoll attentati ta’ tixħim
Bil-mod, il-memes tiegħi stess bdew jidhru fiċ-chat.
Hawn koppja
Sadanittant, il-fabbriki baqgħu inattivi
Tooltip
Kien hemm inqas u inqas flus fil-shredder. Sabiex ir-rebbieħ jikseb mill-inqas xi ħaġa, iddeċidejna li nagħmlu ħjiel. Fl-istess ħin, wara r-regoli tad-disinn tal-logħob, għolli t-tensjoni eżatt qabel il-finali.
Separati Poġġejna video fuq il-blog. Fil-bidu, iddaħħlet biċċa minn Fight Club bħala referenza għal Tyler Durden, li kien qed jaħseb biex idaħħal il-25 frame fil-films waqt li kien jaħdem fis-swali taċ-ċinema.
Iddeċidejna li napplikaw l-istess mekkaniżmi u daħħalna ħjiel fuq il-25 frame dwar kif TIN korrett u isem sħiħ tas-sid.
Wara dan il-guys dehret malajr ħafna
Pass 4. Rimja laser fil-modalità mhux ta 'ġlieda
Meta l-enerġija kienet fornuta mill-kumpanija tal-maniġment u wara li l-plakek inxtegħlu, Megatron mixgħul u seta’ jispara fil-modalità tat-test. Diġà ġie mdaħħal token għal sparatura tat-test fil-formola tal-input.
Kull 25 sekonda ġie ġġenerat token ġdid, dan jista 'jintuża biex jixgħel il-lejżer għal 10 sekondi b'qawwa 10/255
Imbagħad il-lejżer tkessaħ għal minuta u f'dik il-minuta ma kienx disponibbli u ma aċċettax talbiet ġodda għal sparatura.
Din il-qawwa kienet kompletament insuffiċjenti biex tinħaraq minn ġol-ħabel, iżda kwalunkwe plejer seta’ jispara minn Megatron u jara r-raġġ tal-lejżer fl-azzjoni.
Ir-reazzjoni tal-komunità kienet aktar minn qawwija
Iżda kulħadd malajr kkalma u nduna li dan ma kienx it-tmiem tal-logħba.
Imbagħad il-komunità bdiet insemmu kif tniedi l-mod tal-ġlieda kontra
brainstorm
Hemm foloz fuq id-discord
Ma konniex nafu li kien hemm xi ħaġa miktuba fuq is-sieq tal-mejda fix-xandira
Il-komunità waslet għall-pass 4. Ifhem kif it-tokens huma ġġenerati: sib il-qofol u iġġenera token li jixgħel il-lejżer fil-mod ta 'ġlied
Il-mod ta 'ġlied ta' Megatron huwa 100% qawwa tal-lejżer bi 3 watts. Dan huwa biżżejjed għal 2 minuti biex jinħaraq mill-ħabel li żamm il-piż, jikser l-akkwarju u għargħar is-server bl-ilma.
Ħallejna ftit ħjiel : jiġifieri l-kodiċi tal-ġenerazzjoni tat-tokens, li minnu wieħed seta' jifhem li t-tokens tat-test u tal-ġlieda huma ġġenerati bbażati fuq l-istess indikatur tal-kontro. Fil-każ ta 'token tal-ġlied, minbarra l-valur tal-kontro, jintuża wkoll melħ, li huwa kważi kompletament imħalla fl-istorja tal-bidla ta' dan il-qofol, bl-eċċezzjoni tal-aħħar żewġ karattri.
Kif kulħadd malajr raden, kien 42
Fil-kummenti tal-qofol kien hemm korrispondenza bejn Andrey Sokolov u l-iżviluppatur ("iżviluppatur għaqli," kif sejħulu l-guys minn discord).
Fil-korrispondenza, Andrey bagħat wieħed mit-tokens tal-ġlied, u l-iżviluppatur wieġeb li dan it-token kien inizjalizzat b'valur kontro ta '42.
Billi kien jaf din id-dejta, kien possibbli li jiġu ssortjati l-aħħar 2 simboli tal-melħ u fil-fatt issir taf li n-numri minn Lost, konvertiti għas-sistema eżadeċimali, intużaw għaliha.
Imbagħad il-plejers kellhom jaqbdu l-valur tal-kontro (billi janalizzaw it-token tat-test) u jiġġeneraw token tal-ġlieda bl-użu tal-valur tal-kontro li jmiss u l-melħ magħżul fil-pass preċedenti.
Il-counter sempliċement inkrementa ma 'kull sparatura tat-test u kull 25 sekonda. Aħna ma ktibna dwar dan imkien, suppost kellha tkun sorpriża ta 'logħob żgħir. Il-guys dehretha malajr ħafna u nedew il-megatron fil-mod ta 'ġlieda.
Pass 5. Laser jaħarqu l-ħabel
Kif kien
Kollox huwa sempliċi hawn. Jekk jintbagħtu token tal-ġlied iddawwar il-laser f'mod ta 'ġlied, u l-kamra tinbidel u tidħol f'"modalità ta' diżastru", kif sejjaħnieha fix-xenarju ġenerali:
- Id-dwal kollha fil-kamra mitfija
- Buttuni għal apparati iot fuq il-websajt ma sarux disponibbli
- Dwal li jteptep u ħoss tas-sirena
- Il-piż aħmar kien imdawwal
- Beda countdown fuq l-iskrin tat-TV sakemm il-laser ġie mniedi fil-mod ta 'ġlieda.
Tajna l-countdown siegħa u nofs biex kull min lagħab kellu ħin jixgħel ix-xandira u jara l-finali. U għal raġuni tajba: waqt li kont qed nistenna b’nifs battu għall-ħoss tal-impatt u tkissir tal-ħġieġ mill-kamra ta’ ħdejha, it-tim kollu li bena t-tfittxija, mingħajr ma qal kelma, beda jmur fil-bażi biex jara t-tmiem bil-kbir tagħhom. għajnejn stess. Huma biss daru fil-kamra u bdew jgħannqu.
Sadanittant fuq inkwiet
Wara li spiċċa l-countdown, il-lejżer daħal fl-azzjoni u f'żewġ minuti inħaraq mill-ħabel - il-piż tellgħu dritt fl-akkwarju. Qabel l-impatt, capybara miġnun tgħajjat fuq l-iskrin, u għolla s-saqajn iż-żgħar tagħha f'paniku.
Billi t-tim kollu kien miġbur hemm, sparajna messaġġ żgħir lil kull min iġġieled għall-finali għal jumejn fuq discord u marru jiftħu x-xampanja:
Kif ikkalkulajna ż-żmien tat-tnedija tal-vidjows tar-reklamar u t-titjira tal-piż?
Wara tużżana testijiet ta 'ħruq ta' ħabel bil-lejżer, indunajna li dan huwa disinn inaffidabbli ħafna - il-ħabel nofsu maħruq isir irqaq, taħt il-piż tal-piż li jifrex, jibdel il-post, u l-laser ma jistax jibqa 'jaqta'. hija kompletament.
Għalhekk, ħadna rotta differenti: aħna dduplikaw il-burnout billi tgeżwer il-ħabel b'ħajta nichrome. Ġie mgħoddi kurrent mill-ħajta, sar aħmar jaħraq u maħruq minn ġol-ħabel f'madwar 2 sekondi - dan tana fehim preċiż ta 'meta nixgħel il-capybara screaming, waqqaf it-timer tal-bidu u ibda r-kummerċ:
X'ma ħademx għalina?
Fl-aħħar, duħħan oħxon kellu joħroġ mill-unità tas-sistema, bħal f'nar - ħejjejna bombi tad-duħħan, xegħluhom bl-istess mod, iżda għal xi raġuni ma ħadmux (probabbilment minħabba l-ilma).
Min hu r-rebbieħ?
Ħareġ ir-rebbieħ Arkady Alekseev minn San Pietruburgu - kien l-ewwel li ġġenera token tat-test u rebaħ il-flus li kien fadal fit-shredder fl-ammont ta '134 rublu.
Intervista qasira ma' Arkady.
Għidilna lilek innifsek, x'tagħmel fuq ix-xogħol?
Jien speċjalista tas-sigurtà bit-taħriġ, gradwat minn BIT f'ITMO. Naħdem bħala żviluppatur tal-web full stack esternalizzat. Fl-iskola kkompetejt f’kompetizzjonijiet, inkluż fl-ipprogrammar u fil-matematika.
Kif sirt taf dwar il-logħba?
Mort għand Habr biss biex naqra, rajt l-artiklu, u bqajt interessat.
Kemm-il siegħa dgħajt meta ngħaqadt?
Jiena ngħaqadt filgħaxija tal-ġurnata li fiha ġie ppubblikat l-artiklu (jiġifieri jum qabel it-tmiem). Għaddejt il-lejla u parti tajba mill-għada.
X’għoġobkom u x’ma le?
B'mod ġenerali, għoġobni kollox (naturalment, irbaħt)), imma kont xi ftit nervuża dwar is-sejħiet. Ukoll, bħal, li ċċempel u ċċekkja kull verżjoni b'xi mod ma kinitx tajba ħafna, għall-inqas kienet skomda - fhimt li kien għad hemm diversi għexieren ta 'sejħa, nofshom kienu qed jiċċajtaw u jippruvaw jidħlu fl-inġinerija soċjali.
Kif sibt kif issib it-token tal-battalja għal Megatron?
Meta dħalt, kienu diġà spammjaw is-server, pokjaw bozoz tad-dawl, sabu l-password għall-pannell tal-amministrazzjoni tal-laser, kull xorta ta 'subdomains u paġni.
Kien faċli wkoll li ssib profil fuq Github u gist bil-kummenti. Minn hemm, il-proċess tal-ġenerazzjoni ta 'token u sigriet għalih huwa ovvju. F'dawn it-tfittxijiet m'hemmx bżonn li tivvinta ħafna, IMHO, peress li tista 'tgħarraq f'mazz ta' għażliet għall-iżvilupp ta 'avvenimenti; u għalhekk għandek bżonn issegwi fejn il-kreatur tat-tfittxija timbottak.
Meta wieħed iqis is-sottodominji li jifdal u s-sit tat-test fuq tilde, kien ċar li wara li jitħaddem il-lejżer, ikun meħtieġ li jintgħażel token. Għaldaqstant, dik l-istess filgħaxija fassalt talba approssimattiva biex ixgħel il-lejżer (ibbażat fuq 4 formoli disponibbli: 1 fuq is-sit tax-xogħol u 3 fuq it-test/waħda l-qadima) u ppruvajt nibda b'tokens tax-xogħol li jibdew minn 42 (sewwa, għall-iqarqu - f'daqqa waħda kollox diġà hemm attivat, u l-paġna li tibgħat it-token sempliċiment tinfetaħ wara l-TIN u l-isem sħiħ).
M'inix ċert li t-talba kienet korretta, peress li ma kienx hemm ħin biex tiċċekkja (wara kollox, kien possibbli biss li tiċċekkja li l-lejżer kien mixgħul), imma ppreparajt minn qabel għat-tfittxija għat-token.
Kien hemm ukoll loġika ovvja bil-websockets u l-ġestjoni tal-apparat fil-fajl app.js. Kien hemm ħjiel kuraġġuż ta 'apparat a9, meta bagħtet l-enerġija: vera li s-socket ġġarraf. Ippruvajt nibgħatlu kollox - qatt ma taf, jista 'jkun hemm apparat addizzjonali biex issolvi t-TIN, iżda mingħajr suċċess.
Imbagħad fittxejt il-bqija tal-fajls tal-ID ħdejn dawk l-għaxar, iżda kien hemm apparat mhux magħruf kullimkien. Ippruvajt ukoll google kull xorta ta 'affarijiet, jitilgħu fuq [protett bl-email], bagħtet kollox fil-forma fuq il-paġna tal-lista tal-prezzijiet, għamel xi tħaffir bil-lasermasters, iżda kollha mingħajr suċċess. L-għada kont noqgħod bilqiegħda fiċ-chat, niddejjaq kull xorta ta’ affarijiet, imbagħad ħareġ is-suġġett stego u kkonsultajt mal-persuna stegosolve għal stampi u gifs (iżda mentalment fhimt li 99% tal-ħin ma kien hemm xejn hemmhekk, peress li li jkun wisq + kontradizzjoni mal-linja tat-tfittxija prinċipali) .
Imma fl-aħħar, qagħadt ukoll u nħaffer il-pics u l-gifs kollha għal ftit sigħat. Ċempilt ftit drabi oħra b'għażliet TIN differenti, iżda ma ħadmitx. Imbagħad iddeċidejt li nċedih, iżda huma poġġew ħjiel hemmhekk - u deher ċar li n-Numru ta' Identifikazzjoni tal-Taxxa (TIN) se jinstab fil-futur qarib, li huwa dak li ġara. Imbagħad jew jien jew xi ħadd ieħor (mhux ovvju) bgħatt il-qawwa: vera għall-apparat a9 u l-laser beda jaħdem, għalkemm forsi ma kien hemm l-ebda konnessjoni u beda jaħdem biss wara t-TIN. B'mod ġenerali, mort fil-pannell tal-amministrazzjoni tal-laser u kont pjuttost sorpriż, peress li s-server innifsu bagħat it-token (u kont diġà qed nipprepara biex brute). Deher ovvju li t-token kien wieħed tat-test, peress li x-xandir + is-sens komun + iċċekkjah.
Il-kodiċi kien fih il-loġika li jintbagħat token tax-xogħol x'imkien bħala notifika, iżda milli jidher jew kien il-kodiċi ħażin jew kien meħtieġ għal partijiet oħra tas-sistema. Abbozzajt skript biex nikseb it-token tax-xogħol kurrenti minn dak tat-test attwali u bdejt noqgħod fuq f5, ipprova nibgħathom - kien hemm problemi ma 'dan, peress li kulħadd kien qiegħed kontinwament poking il-buttuna tibgħat, u b'hekk ibiddel it-token jekk possibbli. Imbagħad is-sit ġġarraf, il-counter ġie reset, iżda dak mhux il-punt - wara ftit bgħatt token tax-xogħol. Fit-teorija l-counter kien 58 u токен был 449a776938f7ce4cf19f8603045dca0f fil-ħin tal-attivazzjoni, jekk ma nkunx żbaljat. Dak kollox.
Imbagħad inħaraq xi ftit minn kummenti bħal "iva, dan kollu huwa trivjali, imma kont xortik tajba." Ukoll, jekk tmur fil-paġna, aħseb għal minuta, ikteb skript fi ftit minuti, iċċekkjaha - allura iva, hija trivjali. Imma għamilt f'10-20 sekondi, u mbagħad ma stajtx nibgħat it-token għal diversi minuti.
Naturalment, tista' tipprova tikteb loġika biex taqbadha u tibgħatha awtomatikament, iżda dan jieħu aktar żmien u jkun ta 'riskju kbir, flimkien ma' sħaba probabbilment tibda taħlef. Dak li kont verament xortik tajba kien l-aħħar stadju - ftit algoritmi għall-veloċità + veloċità ta 'reazzjoni, dan huwa biss tiegħi. Kieku kien hemm kompitu direttament mill-pentest, x'aktarx ma kontx insir l-ewwel.
Imma għadu mhux spiċċa
Ma nistax nistenna biex ngħidilkom dwar it-tim aqwa li bena din il-kamra tal-escape u s-soluzzjonijiet kollha tal-inġinerija li ħarġu bihom. Iżda dan il-post diġà rriżulta li kien kbir wisq - għalhekk se jkun hemm artikli separati dwar dan, allura żomm ruħek u abbona għall-blog tagħna fuq Habré.
Sors: www.habr.com