«Կարգին հաղորդման» այն հայտնի սքեչը հիշում եք, որտեղ Մկոն համոզում է.

«Վերջին անգամ մի հատ էլ կպնեմ ու վսյո...»

Բայց հենց այդ պահին դուռը բացվում է, և իրավիճակը դուրս է գալիս վերահսկողությունից։

Կիբեռանվտանգության աշխարհում շատ պատմություններ սկսվում են ճիշտ նույն կերպ։

Դու գտել ես խոցելիություն։ Արդեն ունես բավարար ապացույց, որ այն իրական է։ Կարող ես հանգիստ report ուղարկել ու սպասել պարգևավճարին։

Բայց հետո միտք է առաջանում.

«Դե մի հատ էլ նայեմ ինչ կա ներսում ու դուրս գամ...»

Հենց այստեղից է սկսվում խնդիրը։

Bug Bounty-ն էտ էտքան էլ ազատություն չի

Շատ սկսնակ հետազոտողներ սխալմամբ կարծում են, որ եթե ընկերությունը Bug Bounty ծրագիր ունի, ուրեմն կարելի է անել գրեթե ամեն ինչ։

Իրականում Bug Bounty-ն ոչ թե անսահման թույլտվություն է, այլ խիստ սահմանափակված պայմանագիր։

Ընկերությունը քեզ ասում է.

  • Կարող ես ստուգել այս համակարգերը

  • Կարող ես փնտրել այս տեսակի խոցելիությունները

  • Կարող ես ուղարկել զեկույց

Բայց դա չի նշանակում.

  • Կարող ես կարդալ օգտատերերի տվյալները

  • Կարող ես ներբեռնել բազան

  • Կարող ես դուրս գալ սահմանված Scope-ից

Ամենավտանգավոր պահը

Պատկերացրու՝ գտել ես SQL Injection։

Ապացուցելու համար բավական է.

SELECT version();

կամ

SELECT current_user;

Դու արդեն ցույց ես տվել, որ խոցելիությունը գոյություն ունի։

Report-ը կարելի է ուղարկել։

Բայց շատերը հենց այստեղ կանգ չեն առնում։

Սկսվում են մտքերը.

«Տեսնեմ users աղյուսակում ինչ կա...»

«Ադմինների ցուցակն էլ նայեմ...»

«Մի քանի record հանեմ, որ report-ը ավելի ուժեղ լինի...»

Տեխնիկապես նույն խոցելիությունն է։

Իրավաբանորեն՝ արդեն լրիվ ուրիշ պատմություն։

Երբ հետազոտողից դառնում ես ներխուժող

Խոցելիություն գտնելը մեկ բան է։

Իրական տվյալներ կարդալը՝ լրիվ այլ։

Այն պահից, երբ սկսում ես.

  • դիտել օգտատերերի տվյալներ,

  • ներբեռնել փաստաթղթեր,

  • արտահանել բազայի պարունակություն,

  • հավաքել գաղտնի տեղեկություններ,

դու այլևս պարզապես խոցելիություն չես ցուցադրում։

Դու արդեն օգտվում ես այդ խոցելիությունից։

Եվ դատարանում այս տարբերությունը շատ կարևոր է։

«Բայց ես վնաս չէի տալիս»

Սա ամենատարածված արդարացումն է։

«Ես ուղղակի նայում էի»։

«Չէի պատրաստվում օգտագործել»։

«Հետաքրքիր էր»։

Բայց իրավական տեսանկյունից հաճախ կարևոր չէ, թե ինչ էիր պատրաստվում անել։

Կարևոր է, թե ինչ ես արդեն արել։

Եթե առանց թույլտվության հասանելիություն ես ստացել տվյալների, դա արդեն կարող է խնդիր առաջացնել։

Հիշիր՝ դու մենակ չես

Շատերը պատկերացնում են, թե իրենց գործողությունները ոչ ոք չի նկատում։

Իրականում ժամանակակից կազմակերպություններն ունեն.

  • SOC թիմեր,

  • SIEM համակարգեր,

  • IDS/IPS լուծումներ,

  • audit logs,

  • threat monitoring։

Քո յուրաքանչյուր request-ը կարող է պահպանվել։

Քո IP-ն կարող է գրանցվել։

Քո payload-ները կարող են հայտնվել լոգերում։

Երբեմն ընկերությունը դեռ առաջին query-ներից գիտի, որ ինչ-որ մեկը թեստավորում է համակարգը։

Պարզապես հետևում է՝ արդյոք դու կկանգնե՞ս ժամանակին։

3 սխալ, որոնք Bug Bounty-ն վերածում են քրեական գործի

1 ինը էտ Scope-ից դուրս գալնա

Ծրագիրը թույլատրում է.

api.target.com

Դու որոշում ես նայել նաև. 

internal.target.com

կամ

vpn.target.com

Եթե դրանք Scope-ում չեն, ապա թույլտվություն նույնպես չկա։

2րդ ը Տվյալների արտահանումը

PoC-ի համար հաճախ բավարար է մեկ սքրինշոթ։

Ոչ թե 10,000 օգտատիրոջ տվյալ։

Որքան շատ տվյալ ես հավաքում, այնքան դժվար է ապացուցել, որ դա արվել է բացառապես հետազոտական նպատակով։

3րդ ը Շանտաժը

Եթե երբևէ գրում ես.

«Վճարեք, թե չէ կհրապարակեմ»

դու արդեն դուրս ես եկել Responsible Disclosure-ի շրջանակներից։

Այդ պահից խոսքը կարող է գնալ ոչ թե Bug Bounty-ի, այլ շանտաժի մասին։

Ինչպե՞ս վարվել ճիշտ

Եթե ուզում ես երկար տարիներ զբաղվել անվտանգության հետազոտություններով, սովորիր ամենակարևոր հմտությունը.

Ժամանակին կանգ առնել

էս ամեն ինչը նմանա կազինոյին, ճիշտ պահի կանգ չառնես լավ չի վերջանա, ազարտը ճիշտա գերումա բայց դե ավելի լավա ճիշտ պահի կանգնես քանց թե ունեցածդ էլ վտանգի տակ դնես։

✔ Կարդա Scope-ը

✔ Կարդա ծրագրի կանոնները

✔ Հավաքիր մինիմալ ապացույց

✔ Մի ներբեռնիր ավելորդ տվյալներ

✔ Մի պահիր ստացված տեղեկությունները

✔ Անմիջապես ուղարկիր report

Ոսկե կանոնը

Եթե գտել ես բաց դուռը, պետք չէ մտնել ներս ու սկսել պահարաններ բացել։

Բավական է ցույց տալ, որ դուռը բացվում է։

Հենց այստեղ է սպիտակ հաքերի և կիբեռհանցագործի միջև ամենակարևոր սահմանը։

Եվ շատ դեպքերում այդ սահմանը ընդամենը մեկ հավելյալ request է։

Այն request-ը, որի պահին մարդը մտածում է.

«Վերջին անգամ մի հատ էլ կպնեմ ու վսյո...»

իսկ հետո հասկանում է, որ սենյակի դուռն արդեն բացվել է, ու ներս են մտել բոլոր նրանք, ում ընդհանրապես չէր սպասում։


💛 Եթե հոդվածն օգտակար գտար ու կցանկանաս աջակցել հեղինակին հաջորդ հոդվածներ գրելու ճանապարհին, կարող ես փոխանցում կատարել հետևյալ քարտերին։

4083060040319606 Ամերիա Բանկ
460531424 IDRAM

Ամեն աջակցություն մոտիվացիա է շարունակելու


Կիբերանվտանգության Տելեգրամյան ալիք