L3vOns

Ինչպե՞ս բացահայտվեց և ֆիքսվեց Ազգային Բժշկական Պլատֆորմի Խոցելիությունը(armed)

Ողջույն հարգելի ընթերցող Այս հոդվածով ցանկանում եմ Ձեզ ներակայացնեմ բազմզաթիվ քեյսերիցս մեկը , թե ինչպես 1) Բացահայտվեց և ֆիքսվեց IDOR խոցելիություն armed.am համակարգում

Ինչպես գիտեք արմեդը պարունակում է բժշկական փակ տվյալներ ։ Օրերից մի օր առաջացավ ցանկություն այն մակերեսային ուսումնասիրել և գտնել հետաքրքիր բացթողումներ , որոնք կարող էին լուծումը մշակող թիմի աչքից վրիպեին ։ Եվ այդ բացթողումը գտնվեց ՝ Պարզվեց հետևյալը առ այն որ html էջում մատուցվում էր թե պացիենտի , թե բժշկի նկարի հղումը ուղիղ կերպով առանց որևիցէ մի աուֆենֆիկացիայի ։ Եվ հղումը ուներ այս տեսքը ՝ https://example.com/images?&filePath=43212324232&fileIdnetification=312221123

Ինչպե՞ս փորձեցի այն շրջանցել

Այդ նպատակով վերցրեցի և գրեցի փոքր լուծում , որը վերցնելու էր օրինակ իմ filePath-ի և fileIdnetification query – ների ներկա արժեքը և ամեն արժեքին գումարում էր 1 և կանչ անում արմեդի սերվեր , որը արդեն վերադարձնում էր այլ բժշկի և պացիենտի նկար ։ Օրինակ Ցիկլ 1 – ի ժամանակ https://example.com/images?&filePath=43212324233&fileIdnetification=312221124 Ցիկլ 2 – ի ժամանակ https://example.com/images?&filePath=43212324234&fileIdnetification=312221125 և այլ և այլն

Ի՞նչ կարող էր այդ քայլով հարձակվողը ստանար տվյալ հարձակման վեկտորով ՝

ՀՀ բոլոր քաղաքացիների նկարները ՀՀ բոլոր բժիշկների նկարները Այլ խոցելի տեխնիկական բանալիներ , որոնցով կարող էր արտահանվել այլ տեղեկատվություն(Այս կետը խորը ուսումնադիրության չի ենթարկվել) ։

Ինչպես այն ֆիքսվեց ՝

Նկարների հղումները փոխարինվեցին jwt տոկենի առկայությունով , որը տվեց ավելի ապահով տվյալների ստացում և բացի դա արդեն առաջացավ մասնագիտական լեզվով կոչված “Zero Trust” մոտեցումը

Ովքեր իրենց ներդրումը ունեցան , որպեսզի տեղեկատվությունը օպերատիվ կերպով մաքսիալ սեղմ ժամկետներում փոխանցվի Արմեդ թիմին ՝

Antranig Vartanian— co-founder and CEO of illuria security (https://antranigv.am/) Samvel Martirosyan— CEO at HOORY / Co-founder of CyberHUB-AM (https://www.linkedin.com/in/sammart/?originalSubdomain=am)

Վերջաբան ՝

Նմանատիպ խոցելիությունները առաջանում են , երբ լուծում մշակողները աչքի տակ չեն պահում OWASP – ի կողմից բոլոր առաջարկվող բաժինները , որոնք կարող են լուծել մի մեծ խնդիր ։ Դա ցանկացած լուծման անվտանգ իմպլեմենտացիան է , որը հետագայում կարող է օգնել խուսափել բազմաթիվ խնդիրներից ։

OWASP հղում ՝ https://owasp.org/www-project-top-ten/

Թե ինչպես մի քանի հարյուր միլիոն դոլարի տեղաշարժ եղավ դեպի այլ btc հասցեներ

Բոլորդ միգուցե լսած լինեք, որ բացի այն համցանցից , որը ամենօրյա ընթացքում դուք օգատգոծրում էք կա նաև ուրիշ պրոտոկոլով և ֆունդամենտալ մոտեցումներով աշխատող ցանց, որը կոչվում է onion ցանց կամ “Դարկնետ” ։ Այն իրենից ներկայացնում է մի ենթակառուցվածք, որտեղ ձեր ուղարկած և ստացած ինտերնետ պակետները դժվար է հետևել ։ Այդ իսկ պատճառով այնտեղ տեղ են գտել այնպիսի ռեսուրսներ, որոնք առաջարկում են այնպիսի ծառայություններ, որը օրենսդրական մակարդակով համարվում է հանցագործություն ։ Դրանցից մեկն է արգելված հոգեմետ իրերի տարածումը և ձեռքբերումը ։

Մեր պատմությունը վերաբերվում ժամանակին գործող նմանատիպ մի մեծ պլատֆորմի, որի հիմնադիրները ձերբակալվեցին 2011-2013 թթ ուժային կառույցների կողմից ։ Իհարկե խոսքը վերբերվում է Silk Road պլատֆորմին ։

Silk-Road-Marketplace-Item-Screen

Մանրամասները, թե ինչպես եղավ այդ ամենը կարող էք ընթերցել վիքիպեդիայի համապատասխան հղման մեջ ։ Վիքիպեդիա հղում

Այս պլատֆորմում ցանկացած գործարք իրականացվում էր կրիպտոակտիվների միջոցով հատկապես ՝ Bitcoin ֊ ով ։ Այդտեղից էլ եկել է բիթոքին կրիպտոակտիվի առաջին կիրառությունները ։

Քանի որ բիթքոին հաշիվները բոլորին տեսանելի են երկար ժամանակ silk road պլատֆորմին պատկանող հաշվից, ոչ մի տեղափոխում չէր լինում ։ Սակայն 2020 թվականից սկսած մինչ հիմա տվյալ հաշիվը ակտիվացել է , որի վրա կա 69.000 բիթքոին , որը այսօրվա փոխարժեքով կազմում է 2 մլրդ դոլարից ավել գումար ։ Եվ այդ գումարները ներկա ժամանակները տեղափոխվում են անընդհատ ։ Այն դեպքում որ պլատֆորմի սեփականտերը ձերբակալված է վաղուց ։

Deepin-Screenshot-select-area-20210207105314 Deepin-Screenshot-select-area-20210207105335

Բլոքչեյն հղում ՝ Մանրամասն տեղեկատվություն

Սա կապված է մի քանի վարկածի հետ ։ Առաջին վարկածը կապված է նրա հետ, որ ցանցը սա կատարում է ավտոմատիզացված կերպով ։ Երկրորդ վարկածը կապված է նրա հետ, որ տվյալ ակտիվի սեփականատերը, ով փաստացի հանդիսանում է հաշվի կառավարիչը ուղղակի դա կատարում է իր ձեռքով ։ Մեկ այլ վարկած կա, որ դա կարող են իրականցնել հենց ուժային կառույցը կազմող մասնիկները , քանի որ արձանգրվել է նման դեպք, երբ ուժային կառույցի մասնիկը ներգրավված է եղել կոռուպցիոն գործարքների մեջ, որը կապված է եղել Silk road պլատֆորմի հետ ։

Կարդալ հոդվածը

Տվյալ հետազոտությունը հիմված է առանձնապես իմ կարծիքի և հետևությունների վրա ։ Այն կարող է չհամապատասխանել իրականության , բայց ունի իրավունք մնալ որպես վարկած ։

Դեպքը սկսեց նրանից , որ մի հայ օգտատեր հրապարակեց , մի տեսաձայնագրություն որտեղ երևում էր ՀՀ վարչապետի դիվանագիտական անձնագիրը ։

Տես սա 2.17 : 3:05՝ https://www.youtube.com/watch?v=jU2N88kOIY0

Մինչ հասկանալը տվյալ փասթաթղթի ծագումը պետք էր հասկանալ , թե որտեղից կարող էին գտնվել որոշ տվյալներ ։ Օրինակի համար ծննդյան տարեթիվ կամ բնակության հասցե , որի վրա կարելի է հիմնվել ։ Փնտրելով այն բոլոր արտահոսքերը, որոնք հրապարակել էին հարևան երկրի մասնագետները վերցրեցի դրանք :

Սա հրապրակվել էր ինչ ֊ որ մի տեղ Girl in a jacket

Սա էլ մեկ այլ ռեսուրսի վրա Girl in a jacket

Նաև սրանք Girl in a jacket

Ներկա պահին մենք ունենք երեք փաստ որոնք կարելի է ստուգել ։ Ունենք երեք եղանակ փնտել ու համեմատել ընտրողների ռեգիստրում, փնտրել ու համեմատել պաշտոնատար անձի կենսագրության մեջ ։ Կամ փնտրել ու համեմատել մեկ այլ եղանակով (դա թող մնա իմ փոքր գաղտնիքը) ։ Երեք տարբերակով փնտրելը տվեց դրական պատասխան և այո տվյալները իդենտիկ էին ։

Եկեք դիտարկենք այն վիդեոյում երևացող նկարը, որոնք տեսնում ենք ։ Girl in a jacket

Ներկա պահին ունենք անձի անուն, ազգանուն, հայրանուն, ծննդյան տարեթիվ, բնակության վայր ։

Դիտարկենք անձնագրի որոշ առանձնահատկություններ

  1. Նկարը կպցված է , ոչ թե թղթի վրա տպված (մեր բոլոր անձնագրերում նկար թղթի վրա տպված է լինում, կպցված նկարները լինում են հին անձնագրերի մեջ)։
  2. Քանի որ անձնագիրը նոր է տրված (2020) ապա հետևի ֆոնին պետք հոլոգրաֆիկ նշանը հատուկ ։

Girl in a jacket

Հիմա ցույց կտամ մի ռեալ անձնագիր, որը հանդիպել եմ մի հրապարակման մեջ http://medianews.site/149331/ Չէ՞ք նկարում նկարը տպած է թղթին իսկ գլխավոր էջում կան հոլոգրաֆիկ լույսի տակ փայլող նկարներ ։

Ինչևիցե անցնենք առաջ ։ Այն բոլոր թվերը ՍԵՐԻԱ և այլ խոցելի տեղեկատվություն չկարողացա իդենտիֆիկիացնեմ ոչ մի արտահոսքի մեջ ։ Ժամանակին հանդիպել էի տարբեր պետությունների(ՀՀ, Շվեյցարիա և այլն և այլն) psd անձնագրերի , որը կարելի էր փոփոխել և ավելացնել ցանկացած տեղեկատվություն և ասենք կատարել արարք որը գրված է քր օրենսգրքի մեջ ։ Ու նմանատիպ անձնագրերի օրինակներ այսօր ողողված է համացանցը ։ Այս իսկ պատճառներով կիրառվում են պաշտպանական մեխանիզմներ իջեցենլու անօրինական փասթաղթի կեղծումը ։

Այստեղ psd ֊ ի չեմ դնի քանի , որ էթիկական տեսանկյունից մի քիչ սխալ կլինի ։

Ցանկացած մարդ տիրապետելով նմանատիպ տեխնոլոգիաներին կարող է կեղծել փասթաթուղթը ։ Եվ ձեռք բերելով այս կամ այն տեղկեատվությունը անձի մասին բաց և փակ աղբյուրներից տպել նման բան ։ Եվ այսօր սև շուկայում նման ծառայություններ ներկա են ։

Վերջաբան ՝ Իմ կարծիքով անձնագիրը կեղծ է ուղղակի տպած ոչ պրոֆեսիոնալ մակարդակով և դրա պատճառով նոր տված անձնագրերի մոտեցումներին չի համապտասխանում ։ Տվյալները ձեռք է բերված տարբեր աղբյուրներից (կան տվյալներ որոնք միգուցե պատահական են գեներացված)։

Այսքանով սա հանդիսանում է իմ կարծիքը և իմ սեփական հետազոտության արդյունքը ։ Չնայած թե ինչ է իրականում կատարվել ցույց կտա իրավասու մարմնի կողմից քննությունը ։