Niecodzienna metoda w testach bezpieczeństwa przynosi ogromną nagrodę

Niecodzienna metoda w testach bezpieczeństwa przynosi ogromną nagrodę

2019-12-22 13:37 Redakcja

Badacz bezpieczeństwa otrzymał niespotykaną nagrodę w wysokości ~120 000 PLN w ramach bug bounty za wykorzystanie nietypowego znaku %00 w nazwach kont użytkowników. To przykład, jak proste metody mogą prowadzić do spektakularnych wyników.

Pierwszym krokiem badacza było zakładanie kont z nietypowymi znakami w loginie, takimi jak admin%00. Choć początkowo zakładano, że znaki te zostaną usunięte, to jednak zaskoczenie przyszło, gdy konto victim%00@domain.com zostało pomyślnie utworzone. System zwrócił informację o założeniu konta z loginem: victimL@domain.com.

Jednak to nie koniec. Przy użyciu większej liczby %00, badacz uzyskał dostęp do bloków pamięci z serwera, co ujawniło loginy, hasła w plaintext oraz klucze RSA. Problem leży w tym, że długość takiego stringu, jak abc%00, była traktowana jako 4, co stwarzało poważne luki w zabezpieczeniach.

Najnowsze wiadomosci ⚡📰

Nie przegap żadnego trendu, hacka ani dramy w świecie marketingu! 🧠
Mamy już ponad 155 000 artykułów i codziennie dorzucamy 50–100 nowych perełek z SEO, PR, social mediów, reklam, AI i brandingu. Do tego wywiady, nowe narzędzia pozwalające dowieźć wyniki i nutka prawa oraz bezpieczeństwa. Wszystko podane w starupowym sosie, który nigdy sie nie nudzi.
Zapisz się teraz, a Twoja skrzynka stanie się potężniejsza niż raporty z Analyticsa.