Я люблю лавэ! Опыт участия в программах по поиску уязвимостей. By @asintsov, @_chipik with help of @NTarakanov. - презентация

1 Я люблю лавэ! Опыт участия в программах по поиску with help

2 Кто платит? BlackHatы Вендоры «Брокеры» Правительство?

3 Зачем платит? BlackHatы - no comments Вендоры- аутсорс тестирование (ну и PR) «Брокеры»- перепродажа, например в виде virtual patch Правительство?- кибер война и все такое…

4 ZDI HP Tipping Point IPS - в базе 0дэеи, которые ей продали исследователи => позволяет определять атаку до выхода патча, и до его установки.

5 ZDI Другой плюс: баланс сил. Чем больше багов найдено и продано ZDI, тем больше их закроют до обнаружения китайскими ресерчерами 8)

6 ZDI Какую багу нужно найти? RCE (FileFormat too) Популярный продукт В конфигурации по умолчанию В последней версии продукта DoS

7 ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$?

8 ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8(

9 ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8( Как долго ждать денег? Неделю-две (перевод на долларовый счет в Россию)

10 ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8( Как долго ждать денег? Неделю-две (перевод на долларовый счет в Россию) Итого: два месяца от отсылки уязвимости до снятия кэша Все общение - по Нужен скан паспорта Сумма приходит без «искажений» Бонусные очки! Премии и билеты на BlackHat и Defcon в Лас-Вегасе

11 ZDI

12

13

14 УК РФ Hack: 273 ст. - говорит нам про некое вредоносное ПО. Анализ уязвимости с описанием проблемы и возможным вектором эксплуатации - ни разу не ПО =) PoC запускающий калькулятор - не наносит «вред» ZDI контора вендора (HP), занимающаяся ИБ. Нет состава преступления. Фактически я внес вклад в безопасность. Налоги? Заплати! Открой счет в не Русском банке на имя друга 8)

15 ZDI

16

17

18 Fight!

19 За что дают? *.google.com *.youtube.com *.blogger.com *.orkut.com

20 За что дают $? *.google.com *.youtube.com *.blogger.com *.orkut.com

21 За что дают $? Cross-site scripting (XSS) Cross-site request forgery (XSRF) Clickjacking Flaws in user authentication or authorization mechanisms Server side code execution or command injection HTTP response splitting ….

22 За что не дают $? Соц. Инженерия Физческие атаки DOS НЕ веб баги Баги в клиентских приложениях SEO техники Не гугловые баги

23 Так сколько $? Базовая сумма вознаграждения $500 Максимальная сумма вознаграждения $3,133.7 Возможны вариации: Баги по $100 Несколько багов на $500

24 Я белый. Не нужны $$ ? Можно отказаться и просто отрепортить гуглу о баге Можно попросить гугл перевести деньги на благотворительность Имя в зале славы Google:

25 Не забываем про...

26 Готов получать $$ Запущу-ка я свой мега фаззер: Q) How far should I go to demonstrate a vulnerability? A) Please, only ever target your own account or a test account. Never attempt to access anyone else's data. Do not engage in any activity that bombards Google services with large numbers of requests or large volumes of data.

27 Пришел к успеху

28 Google Documents

29

30 Хмм, а что с этим можно сделать? Кавычки Скрипталерты ААААААААААААААААААААААААААААААА %0d%0a /etc/passwd

31 Google Documents Это же Exсel Засунем =A1+B1

32 Google Documents Засунем %08=A1+B1 Yaaahooo!!

33 Вектор? Слава Excel формулам! Ура, гугл функциям!

34 Вектор! В ячейку A20 помещаем критичную пользовательскую инфу, получаемую по URL В ячейку А21 вставляем формулу которая сделает GET запросик Profit !!

35 Profit

36

37 Необходимо заполнить громадную форму с инфой…

38 Profit …и не одну

39 Profit Респонз на уязвимость в течении недели Закрыли уязвимость в течении 3 недель Парочка месяцев недопонимания со стороны индусских работников Google 1337$ на азартные игры и блудниц Респекты в зале славы Google

40 Hey! What about U? :) PWNED

41 ? tnx

42 Moooooaaaaaar?