Ողջույն հարգելի ընթերցող հուսով եմ քեզ հետատքրքիր է , թե ինչպես արտահոսեց այս լուծումը , որի նպատակն է մասնավորապես ուժային կառույցներին օգնելու գտնել հանցագործության մասին թվային հետքեր ուղիղ հեռախոսի պարունակությունից ։

Դեպքը սկսեց այն կետից ( մոտավոր մեկ տարի առաջ ) երբ հանդիպեցի հետաքրքիր հոդված , որտեղ նկարագրում էր , թե ինչպես մի վերավաճառող անզգուշությամբ տեղադրելէր տվյալ լուծման ուղիղ հղումը , որը թույլ էր տալիս էր տալիս ներբեռնել տվյալը լուծումը celebrity ընկերության քեշերից :

Նախանական ստուգում ցույց էր տալիս , որ տվյալ վերավաճառող ընկերության կայքը հասանելի չի ։

Ինչպե՞ս լուծվեց այդ խնդիրը ։ Ինչպես հասկացաք օգտվեցի որոշակի լուծումներից ստուգելու համար արդյոք կա տվյալ դոմեյնի snapshot – ը ։ Եվ ուսումնասիրությունը ցույց տվեց, որ այո գոյություն ունի ։ ԵՎ այնտեղ իրականում գոյություն ուներ հղումը դեպի cellebrite ենթակառուցվածքի քեշային հատված ։ Եվ փորձնական հարցումը տվյալ քեշային հատվածին ցույց տվեց , որ այո դեռևս այդ ժամանակ տվյալ լուծմները հասանելի էին ցանկացած անձի համար ( ներկա պահին ի ուրախություն ինձ ընկերությունը լուծել է այդ բացը ) ։ Օգնվելով DNS պատմություններ պարունակող ռեսուրսներից հնարավոր եղավ նաև ներբեռնել այլ լուծումներ ։

Ի՞նչ քայլ կատարվեց իմ կողմից վերացնելու համար տվյալ բացթողումը Գտնելով իրենց էլ․ փոստը խնդրեցի , որպեսզի կապ հաստատեն կամ ընդունեն այն report – ը որը կապված էր բացահայտմանս հետ ։ Սակայն ինչ – ինչ պատճառներով փոխանցեցին , ոչ տեխնիկական ուղղվածություն ունեցող բաժնի էլ․ փոստ և այդպես էլ report – ը մնաց ։

Ի՞նչ քայլեր կարող էք կիրառվել նման խնդիրներից զերծ մնալու համար Կախված ձեր ենթակառուցվածքի առանձնահատկության հետ կարող էք N ժամանակահատվածը մեկ ուղղակի DNS – ում գրված կրիտիկական լոգերը Flush անել ։ Իհարկե այստեղ կարող էք բախվել մեկ այլ խնդրի հետ երբ երրորդ ռեսուրսները, որոնք նախատեսված reconnaissance իրականացնելու համար կարող են ուղղակի պահել այդ DNS հարցումները իրենց անձնական շտեմարանների մեջ ։

Վերջաբան ՝ Տվյալ բացթողումը թույլ էր տալիս ներբեռնել միայն լուծումները առանց որևիցե մի ակտիվացման հնարավորության ։ Սակայն հետագա ուսումնասիրությունս ցույց տվեց , որ միգուցե այս բացթողման մասին գիտեն արդեն հետաքրքրված մասնագետները , ովքեր ունեն հմտություններ շրջանցելու լուծումների պաշտպանական մեխանիզմները ։ Նշեմ որ այս հոդվածը գրելու պահին ի սպառ վերացվել է խոցելիությունը , այդ իսկ պատճառով կիսվում եմ ձեր հետ ։ Նպատակ ունենալով, որ այս քեյսը կլինի lesson learned և միգուցե մի օր կամ մի տեղ այս մոտեցումների շնորհիվ կկանխվի նոր տիպի վտանգներ ։

Ողջույն հարգելի ընթերցող Այս հոդվածով ցանկանում եմ Ձեզ ներակայացնեմ բազմզաթիվ քեյսերիցս մեկը , թե ինչպես 1) Բացահայտվեց և ֆիքսվեց IDOR խոցելիություն armed.am համակարգում

Ինչպես գիտեք արմեդը պարունակում է բժշկական փակ տվյալներ ։ Օրերից մի օր առաջացավ ցանկություն այն մակերեսային ուսումնասիրել և գտնել հետաքրքիր բացթողումներ , որոնք կարող էին լուծումը մշակող թիմի աչքից վրիպեին ։ Եվ այդ բացթողումը գտնվեց ՝ Պարզվեց հետևյալը առ այն որ html էջում մատուցվում էր թե պացիենտի , թե բժշկի նկարի հղումը ուղիղ կերպով առանց որևիցէ մի աուֆենֆիկացիայի ։ Եվ հղումը ուներ այս տեսքը ՝ https://example.com/images?&filePath=43212324232&fileIdnetification=312221123

Ինչպե՞ս փորձեցի այն շրջանցել

Այդ նպատակով վերցրեցի և գրեցի փոքր լուծում , որը վերցնելու էր օրինակ իմ filePath-ի և fileIdnetification query – ների ներկա արժեքը և ամեն արժեքին գումարում էր 1 և կանչ անում արմեդի սերվեր , որը արդեն վերադարձնում էր այլ բժշկի և պացիենտի նկար ։ Օրինակ Ցիկլ 1 – ի ժամանակ https://example.com/images?&filePath=43212324233&fileIdnetification=312221124 Ցիկլ 2 – ի ժամանակ https://example.com/images?&filePath=43212324234&fileIdnetification=312221125 և այլ և այլն

Ի՞նչ կարող էր այդ քայլով հարձակվողը ստանար տվյալ հարձակման վեկտորով ՝

ՀՀ բոլոր քաղաքացիների նկարները ՀՀ բոլոր բժիշկների նկարները Այլ խոցելի տեխնիկական բանալիներ , որոնցով կարող էր արտահանվել այլ տեղեկատվություն(Այս կետը խորը ուսումնադիրության չի ենթարկվել) ։

Ինչպես այն ֆիքսվեց ՝

Նկարների հղումները փոխարինվեցին jwt տոկենի առկայությունով , որը տվեց ավելի ապահով տվյալների ստացում և բացի դա արդեն առաջացավ մասնագիտական լեզվով կոչված “Zero Trust” մոտեցումը

Ովքեր իրենց ներդրումը ունեցան , որպեսզի տեղեկատվությունը օպերատիվ կերպով մաքսիալ սեղմ ժամկետներում փոխանցվի Արմեդ թիմին ՝

Antranig Vartanian— co-founder and CEO of illuria security (https://antranigv.am/) Samvel Martirosyan— CEO at HOORY / Co-founder of CyberHUB-AM (https://www.linkedin.com/in/sammart/?originalSubdomain=am)

Վերջաբան ՝

Նմանատիպ խոցելիությունները առաջանում են , երբ լուծում մշակողները աչքի տակ չեն պահում OWASP – ի կողմից բոլոր առաջարկվող բաժինները , որոնք կարող են լուծել մի մեծ խնդիր ։ Դա ցանկացած լուծման անվտանգ իմպլեմենտացիան է , որը հետագայում կարող է օգնել խուսափել բազմաթիվ խնդիրներից ։

OWASP հղում ՝ https://owasp.org/www-project-top-ten/

Բոլորդ միգուցե լսած լինեք, որ բացի այն համցանցից , որը ամենօրյա ընթացքում դուք օգատգոծրում էք կա նաև ուրիշ պրոտոկոլով և ֆունդամենտալ մոտեցումներով աշխատող ցանց, որը կոչվում է onion ցանց կամ “Դարկնետ” ։ Այն իրենից ներկայացնում է մի ենթակառուցվածք, որտեղ ձեր ուղարկած և ստացած ինտերնետ պակետները դժվար է հետևել ։ Այդ իսկ պատճառով այնտեղ տեղ են գտել այնպիսի ռեսուրսներ, որոնք առաջարկում են այնպիսի ծառայություններ, որը օրենսդրական մակարդակով համարվում է հանցագործություն ։ Դրանցից մեկն է արգելված հոգեմետ իրերի տարածումը և ձեռքբերումը ։

Մեր պատմությունը վերաբերվում ժամանակին գործող նմանատիպ մի մեծ պլատֆորմի, որի հիմնադիրները ձերբակալվեցին 2011-2013 թթ ուժային կառույցների կողմից ։ Իհարկե խոսքը վերբերվում է Silk Road պլատֆորմին ։

Մանրամասները, թե ինչպես եղավ այդ ամենը կարող էք ընթերցել վիքիպեդիայի համապատասխան հղման մեջ ։ Վիքիպեդիա հղում

Այս պլատֆորմում ցանկացած գործարք իրականացվում էր կրիպտոակտիվների միջոցով հատկապես ՝ Bitcoin ֊ ով ։ Այդտեղից էլ եկել է բիթոքին կրիպտոակտիվի առաջին կիրառությունները ։

Քանի որ բիթքոին հաշիվները բոլորին տեսանելի են երկար ժամանակ silk road պլատֆորմին պատկանող հաշվից, ոչ մի տեղափոխում չէր լինում ։ Սակայն 2020 թվականից սկսած մինչ հիմա տվյալ հաշիվը ակտիվացել է , որի վրա կա 69.000 բիթքոին , որը այսօրվա փոխարժեքով կազմում է 2 մլրդ դոլարից ավել գումար ։ Եվ այդ գումարները ներկա ժամանակները տեղափոխվում են անընդհատ ։ Այն դեպքում որ պլատֆորմի սեփականտերը ձերբակալված է վաղուց ։

Բլոքչեյն հղում ՝ Մանրամասն տեղեկատվություն

Սա կապված է մի քանի վարկածի հետ ։ Առաջին վարկածը կապված է նրա հետ, որ ցանցը սա կատարում է ավտոմատիզացված կերպով ։ Երկրորդ վարկածը կապված է նրա հետ, որ տվյալ ակտիվի սեփականատերը, ով փաստացի հանդիսանում է հաշվի կառավարիչը ուղղակի դա կատարում է իր ձեռքով ։ Մեկ այլ վարկած կա, որ դա կարող են իրականցնել հենց ուժային կառույցը կազմող մասնիկները , քանի որ արձանգրվել է նման դեպք, երբ ուժային կառույցի մասնիկը ներգրավված է եղել կոռուպցիոն գործարքների մեջ, որը կապված է եղել Silk road պլատֆորմի հետ ։

Կարդալ հոդվածը

Դեպքը սկսեց նրանից , որ մի հայ օգտատեր հրապարակեց , մի տեսաձայնագրություն որտեղ երևում էր ՀՀ վարչապետի դիվանագիտական անձնագիրը ։

Տես սա 2.17 : 3:05՝ https://www.youtube.com/watch?v=jU2N88kOIY0

Մինչ հասկանալը տվյալ փասթաթղթի ծագումը պետք էր հասկանալ , թե որտեղից կարող էին գտնվել որոշ տվյալներ ։ Օրինակի համար ծննդյան տարեթիվ կամ բնակության հասցե , որի վրա կարելի է հիմնվել ։ Փնտրելով այն բոլոր արտահոսքերը, որոնք հրապարակել էին հարևան երկրի մասնագետները վերցրեցի դրանք :

Սա հրապրակվել էր ինչ ֊ որ մի տեղ

Սա էլ մեկ այլ ռեսուրսի վրա

Նաև սրանք

Ներկա պահին մենք ունենք երեք փաստ որոնք կարելի է ստուգել ։ Ունենք երեք եղանակ փնտել ու համեմատել ընտրողների ռեգիստրում, փնտրել ու համեմատել պաշտոնատար անձի կենսագրության մեջ ։ Կամ փնտրել ու համեմատել մեկ այլ եղանակով (դա թող մնա իմ փոքր գաղտնիքը) ։ Երեք տարբերակով փնտրելը տվեց դրական պատասխան և այո տվյալները իդենտիկ էին ։

Եկեք դիտարկենք այն վիդեոյում երևացող նկարը, որոնք տեսնում ենք ։

Ներկա պահին ունենք անձի անուն, ազգանուն, հայրանուն, ծննդյան տարեթիվ, բնակության վայր ։

Դիտարկենք անձնագրի որոշ առանձնահատկություններ

1. Նկարը կպցված է , ոչ թե թղթի վրա տպված (մեր բոլոր անձնագրերում նկար թղթի վրա տպված է լինում, կպցված նկարները լինում են հին անձնագրերի մեջ)։
2. Քանի որ անձնագիրը նոր է տրված (2020) ապա հետևի ֆոնին պետք հոլոգրաֆիկ նշանը հատուկ ։

Հիմա ցույց կտամ մի ռեալ անձնագիր, որը հանդիպել եմ մի հրապարակման մեջ http://medianews.site/149331/ Չէ՞ք նկարում նկարը տպած է թղթին իսկ գլխավոր էջում կան հոլոգրաֆիկ լույսի տակ փայլող նկարներ ։

Ինչևիցե անցնենք առաջ ։ Այն բոլոր թվերը ՍԵՐԻԱ և այլ խոցելի տեղեկատվություն չկարողացա իդենտիֆիկիացնեմ ոչ մի արտահոսքի մեջ ։ Ժամանակին հանդիպել էի տարբեր պետությունների(ՀՀ, Շվեյցարիա և այլն և այլն) psd անձնագրերի , որը կարելի էր փոփոխել և ավելացնել ցանկացած տեղեկատվություն և ասենք կատարել արարք որը գրված է քր օրենսգրքի մեջ ։ Ու նմանատիպ անձնագրերի օրինակներ այսօր ողողված է համացանցը ։ Այս իսկ պատճառներով կիրառվում են պաշտպանական մեխանիզմներ իջեցենլու անօրինական փասթաղթի կեղծումը ։

Այստեղ psd ֊ ի չեմ դնի քանի , որ էթիկական տեսանկյունից մի քիչ սխալ կլինի ։

Ցանկացած մարդ տիրապետելով նմանատիպ տեխնոլոգիաներին կարող է կեղծել փասթաթուղթը ։ Եվ ձեռք բերելով այս կամ այն տեղկեատվությունը անձի մասին բաց և փակ աղբյուրներից տպել նման բան ։ Եվ այսօր սև շուկայում նման ծառայություններ ներկա են ։

Վերջաբան ՝ Իմ կարծիքով անձնագիրը կեղծ է ուղղակի տպած ոչ պրոֆեսիոնալ մակարդակով և դրա պատճառով նոր տված անձնագրերի մոտեցումներին չի համապտասխանում ։ Տվյալները ձեռք է բերված տարբեր աղբյուրներից (կան տվյալներ որոնք միգուցե պատահական են գեներացված)։

Այսքանով սա հանդիսանում է իմ կարծիքը և իմ սեփական հետազոտության արդյունքը ։ Չնայած թե ինչ է իրականում կատարվել ցույց կտա իրավասու մարմնի կողմից քննությունը ։