Web Analytics

Vulnerabilitatile trebuie raportate, nu exploatate

Vorbeam in seara asta cu un prieten si mi-am dat seama de un lucru : mi-am dezvoltat un obicei de a raporta vilnerabilitati ale diverselor siteuri si de a raporta erori ale diverșilor angajați.
Istoria e lunga dar am sa scurtez. In urma cu ceva vreme lucram intr-un CallCenter si tot era unul considerat de toți drept sărit de pe fix, care suna si raporta diverse erori. Intrasem si eu in cârdășie consierand ca nu are dreptate. Pana intr-o zi când mi-am adus aminte de o vorba a unui fost trainer : “dar, dacă are dreptate de fapt?” . Atunci am început sa pun pe foaie datele si sa vad ca saritul de pe fix era de fapt un tip deștept. Găsise o vulnerabilitate pe care o exploata in câștigul lui. Era un cod de utilizator care nu putea fi ghicit si era folosit drept parola. Atunci am făcut legătura. Totul era in matematica.
Codul de utilizator se putea calcula in 30 de secunde pt orice număr iar codul PUK pt orice serie SIM. Între timp, au scos codul de utilizator . Calcularea codului PUK 1 este valabilă si astăzi pt orice MSISDN pe baza seriei SIM. De aceea se schimba PUK la schimbarea SIM : pt ca se schimba seria de pe spate. E simplu dar complicat. Trebuie sa ai cel puțin 10 cartele SIM in fata cu PUKurile lor ca sa îți dai seama de algoritmul folosit. E tras codul de doua ori dar totul sta doar in scăderi si adunari.

Revenind la online, in ultima luna am găsit vreo 3 siteuri vulnerabile. Nu folosesc tool-uri ci mă refer la o vulnerabilitate de începători. Practic, sunt zeci , sute de siteuri de unde pot fi cumparate componente joomla, pluginuri WordPress etc. Problema e ca unele sunt unice prin ceea ce fac si costa pe măsura.

De exemplu, un profile builder wordpress cum îmi cerea un client anul trecut, era 99€ parca. O componenta pe vremea joomla 1.5 de user access control era vreo 30€ si făcea ce s-a lansat mult mai târziu in 1.6.

Ei bine, mulți zugravi au casa nezugravita. Mulți instalatori au scurgeri la racordul de sub chiuveta.

In cazurile de mai sus, ca in multe cazuri, am încercat sa vad dacă sunt listate fisierele in director sau dacă sunt linkuri de direct download fara token (pass key). Mulți nu au așa ceva. Sau au ID pe download si dacă schimbi ID-ul poți descărca ceea ce au descărcat unii pe bani înaintea ta. Si uite cum se trezesc cu teme , componente, pluginuri descărcate fara plata.

Mai devreme m-a contactat un tip din Ucraina sa îmi spună ca a remediat problema siteului si mi-a făcut cadou un abonament pe un an la download al componentelor sale pe care oricum le-as fi putut lua singur fara sa ii raportez problema . Vreo 300€ in total. Ce s-a întâmplat după ce a remediat problema ? I-a trimis un tip email (IP de Giurgiu) prin care il întreba de ce nu mai pot fi descărcate componentele direct, fara plata. Adică hoțul stia ca e ilegal dar totuși întreba 🙂

Recent, un tip anunța mândru pe Facebook ca si-a instalat Linux. Nu stia ce distribuție e. Pt el toate erau Linux. Spunea ca Windows e de cacat, ca e plin de erori. L-am întrebat dacă nu cumva e tras de pe torrent, la care el a răspuns : “Normal! De pe Filelist.ro”.
Deci Rromanului i se pare normal sa fure. I se pare normal sa folosească programe, scripturi pt care alții au muncit dar el sa le ia gratis. Nu plâng de mila nici siteurile de care ziceam mai devreme, nici Microsoft, nici Apple. Toate sunt pe profit.

Dar rămâne întrebarea mea : “de ce?” .
Si eu vreau o mașina Pagani. Dar am avut bani de Aveo. Si eu vreau Samsung Galaxy S4, dar am avut de iPhone 5. In lume trebuie sa îți iei ce îți permiti.

Ah, ca intr-adevăr muncesti pe 200€ si o licența Windows e 110€ si un Office e 100€, e un alt aspect. Descarci pe furis, lași ciocul mic si joc de glezne. Dar dacă te mai si apuci sa te lauzi cu ilegalitatea, atunci meriti pe deplin o vizita CyberCrime acasă.

La fel a murit si VoceOnline de la Romtelecom. Au fost kinderi care s-au apucat sa scrie pe bloguri ce descoperire au făcut. De atunci am promis: dacă găsesc siteuri sau aplicații care sa afiseze MSISDN ascuns după CLIR, nici sa mă piști cu ceara nu mai public. Sunt provideri si in România care sfidează legea afisand identitatea numerelor ascunse. Sunt forumuri in limba româna pe care se dezbat probleme de gen. Dar toate au un scop. Nu zic mai multe ca mă leg singur. Dar voi chiar credeati ca apelurile RTC nu erau stocate? Apelurile AKTA nu sunt verificate? Stiu si am văzut si ascultat lucruri. Si in Italia s-a dat liber la chestii de genul asta. A doua zi a angajat procuratura mediatori culturali pe vreo 6 limbi ca sa traduca apeluri.

Statul si banca nu vor pierde niciodată ! Toate au un scop iar cei care încearcă ulciorul de prea multe ori, dau cu subsemnatul.

Sunt alții, ca cel din foto, cărora le dai cu lopata in cap si nu înțeleg care e problema. Le dai un mail pe săptămâna ca au lăsat ușa deschisă la casa in mijlocul Ferentariului si ei întreaba retoric : “si care e problema?”. Mori !

Tags:

BlogInternet

  1. Citind articolul, mi-a venit in minte un post al unui developer, pe care incerc sa-l reproduc: “la cate lucruri bune am invatat de pe net, a sosit momentul sa las si eu ceva”…. Spune multe despre obligatia morala, pe care, la un moment dat, simti ca o ai…

    Cristian Iosub