Школьник получил $3 тысячи от «ВКонтакте» и ICQ за найденный при подготовке к ЕГЭ способ взлома аккаунтов Статьи редакции
Илья Глебов из Мончегорска получил от «ВКонтакте» и ICQ $3 тысячи за найденную уязвимость, которая позволяла взламывать профили в сервисах. Проблема затрагивала почти все аккаунты в соцсети и мессенджере, пишет ITMO.News.
В интервью Глебов рассказал, что готовился к ЕГЭ по информатике, но решил отвлечься и нашёл статью 2016 года о взломах в Facebook. Тогда он попробовал применить такой же метод во «ВКонтакте».
Эту задачу я делал где-то в течение двух дней, хотя по общему времени она заняла часа четыре. Уязвимость заключалась в том, что [во «ВКонтакте»] есть сессия, и по этой сессии генерируется код восстановления, который отправляется на телефон. Но никто не предполагал, что сессии могут быть одинаковыми.
Я же сделал так, что сессии были действительно одинаковые: то есть одинаковый код можно отправить на разные телефоны. Эта уязвимость позволяла взломать большинство аккаунтов в социальной сети, в безопасности были только аккаунты с двухфакторной авторизацией (у них нельзя делать восстановление по номеру телефона). Подробно ход работы описан на Habrahabr.
После обнаружения уязвимости Глебов сообщил о ней сначала во «ВКонтакте» через программу вознаграждений на HackerOne, а затем в ICQ. «Уже через 17 часов уязвимость была устранена. Спустя несколько дней мне выплатили $2 тысячи. В программе от ICQ мне была сделана доплата в размере $1 тысячи», — сказал он.
Глебов сказал, что хотел бы поступить в ИТМО. После этого декан факультета информационной безопасности и компьютерных технологий университета Данил Заколдаев пригласил его на обучение по программе «Технологии защиты информации» за счёт бюджета вуза.
Они не только дизайн копируют но и баги/уязвимости
<смешная картинка на тему />
Вот не надо про дизайн сказки рассказывать. Дизайн и функционал вк гораздо лучше, чем фб.
Функционал врятли лучше, как сказал человек выше, они действительно копируют все, и не нужно это доказывать потому что это слишком очевидно. А вот на тему дизайна и юзабилити он действительно не прав! Дизайн вк и его юзабилити на много лучше чем в фб, если бы у фб было хотя бы удобное юзабилити, то они бы захватили достаточно много рф трафика, но увы это не так.
2 миллиарда людей дизайн fb устраивает
Люди пользуются не тем, что лучше, а тем, что популярно.
Комментарий удален модератором
Но, нытьё что фб говно вижу только в СНГ
Комментарий удален модератором
Функционал ВК как бы по факту не меняется уже очень давно.
как бы по факту -- он недавно полностью сменился
Он про функционал, а не про дизайн.
Комментарий удален модератором
Мне одному $3 тысячи глаза сломало?
Комментарий удален модератором
$3000
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Как-то мало 3к за такую работу.
Мало? Потратил 4 часа - получил 3000 USD. Размер вознаграждения обычно определяется сложностью выполненной задачи.
Это не так. Награда должна быть пропорциональна критичности найденной уязвимости. В умелых руках этот баг мог приносить гораздо большие деньги, чем VK за него выложил
Ну ВК особой щедростью никогда не отличался, даже в подобных вопросах. Любая иностранная компания выложила бы больше, безусловно.
Еще один плюс в пользу прокрастинации - чел готовился к экзамену, но вместо зубрежки плутал мыслями по соцсетям и публикациям, связанным с их работой... Итог - получил премию и приглашение в ВУЗ на бюджет без всяких ЕГЭ)
а) он ломал официальный клиент на Android (позволивший ему работать напрямую с Java кодом приложения, найти и модифицировать нужный кусок, собрать все в "модифицированное" предложение, и запускать его без ограничений).
б) Куска кода от MailRu при Дурове в ВК клиенте бы точно не было :)
в) Он-то заработал $3000 (неясно что с вычетом налогов, да?), но похоже что на этой дырке жили-поживали сотни и тысячи "Кинь денег на мой новый телефон" мошенников ... и что - и сотни программистов VK / Mail.ru эту дырку НЕ замечали.
Комментарий недоступен
Мне интересно, мог бы он взломать приложение под iOS таким же образом.
Просто взлом именно Android приложений превращается в какую-то постоянную тему:
- ломают экаунты авторов приложений и загружают версии с бэкдорами на Play Market,
- выпускают приложения, просто сразу являющиеся вирусами, с какой-то декоративной функцией
- ломают банк-клиенты и встраиваются в операционку - перехватывая входящие SMS.
Какая-то ерунда полная, как так можно развивать Android, или так и задумано?
ведроид берет массовостью, но не качеством. с самого начала своего существования :)
MS DOS и Windows 3.1 тоже были весьма простыми (и уязвимыми), но антивирусы (которые только появилсь) достаточно быстро прикрыли их, в плане безопасности.
А с Android почему-то так сделать нельзя - только у Каспера 3 или 4 _разных_ приложения в Play Market (зачем?)
Рецепты "лечения" Android тел. и планшетов включают в себя
• экспорт данных (только данных) из приложений,
• перепрошивку или возврат к заводским настройкам
• установку новой учетной записи устройства - потому что некоторые вирусы записывают свои копии во все приложения (хранящиеся в профиле пользователя на серверах).
Понимаете, такое возможно только при полном игнорировании проблемы - уж приложения с вирусами могли бы лечить/вышибать из Google Play Market и из сохраненных версий в учетках пользователей?
В следующий раз очередной умник подумает и продаст в другое место.
Молодец паренек! Нормально так заработал
Очень круто иметь такие уязвимости на фоне того, что арестовывают за комментарий на странице ВК
https://maksfedorov.ru/blog/all/kak-posadit-lyubogo-cheloveka-ili-dostavit-emu-nepriyatnostey/
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
все гениальное просто, пример был, осталось найти желание и силы, чтобы проделать и получить результат
Меня удивило, что никому кроме этого школьника не пришло в голову после статьи про фб на хабре попробовать на впаше тоже самое. А по поводу награды, за 4 часа 3000 неплохо, он же не сам нашел, а скопировал по инструкции.
Даа, вознаграждение хорошее ему дали. Странно, что никто до него не додумался до этого
Комментарий удален модератором