Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
- 1. Сергей Белов, Mail.Ru Group Temple of Bug Bounty: Leveling & Farming
- 2. $ whoami • @sergeybelove • Head of AppSec @ Mail.Ru Group • ZeroNights team since 2013
- 3. SSRF CSRF XSS postMessage leak Open Redirect IDOR Insecure random CSP bypass CORS leak
- 4. SSRF CSRF XSS postMessage leak Open Redirect IDOR Insecure random CSP bypass CORS leak
- 5. Bug bounty Bug Bounty - программы вознаграждения за найденные уязвимости. 1) hackerone.com - самая популярная площадка 2) bugcrowd.com 3) Собственные системы Mail.Ru Group - 5 программ: • https://hackerone.com/mailru • https://hackerone.com/icq • https://hackerone.com/vkcom • https://hackerone.com/ok • http://corp.wamba.com/en/developer/security/
- 6. Bug bounty Статистика (Mail.Ru): • Репортов с выплатами — 590 • Всего выплатили ~ $200,000 • Средняя выплата — $335 • Среднее время ответа — 22 часа
- 7. Bug bounty Workflow: 1. Новая уязвимость 2. В скоупе? Хватает информации? 3. Подтверждение (или нет) уязвимости 4. Экспорт AS IS в Jira (проект HackerOne) 5. Тикет переформлируется и загоняется в проект нужного продукта 6. В ближайшую среду происходит решение по выплате 7. Выкатывается фикс 8. Закрываются два тикета в Jira, тикет на HackerOne
- 8. Мифы и факты Bug Bounty Миф - получая уязвимости от ресерчеров вы можете легко пробовать их на других сайтах! • Уязвимости в 95% случаев относятся только к данному коду • В 5% ресерчер сам пойдет и сдаст ее на других сайтах :) Вы можете отметить репорт как дубликат/известный и не заплатите! • Нет, в HackerOne есть механизм добавления ресерчера в оригинальный репорт • Это невыгодно в долгосрочной перспективе
- 9. Bug Bounty & 0 Days Реальная ситуация - присылают 0day уязвимость (server-side) в популярном продукте (доступен извне). Что мы делаем в этом случае: 1) Исправляем у себя (пишем патч сами или закрываем на уровне nginx) 2) Сообщаем вендору, указывая что эту уязвимость нам прислал такой-то ресерчер на HackerOne 3) Выплачиваем ресерчеру вознаграждение
- 10. Bug Bounty & 0 Days Тренд: • Ресечеры находят 0day • Репортят вендору и параллельно, в тот же день, во все Bug Bounty, где это применимо (не дожидаясь фикса) • Собирают $$$
- 11. Bug Bounty & 0 Days https://hackerone.com/reports/251732
- 12. Bug Bounty & 0 Days Будьте внимательны! • Ресерчер нашел уязвимость • В ходе разбирательства стало понятно, что уязвимость в чужом решении (ресерчер не знал об этом) • Мы сообщили об этом вендору, у вендора есть Bug Bounty • Так как данные об уязвимости известны “3rd party persons” вознаграждение вендор не выплачивает • Мы выплачиваем ресерчеру стандартное баунти (но теряется от вендора)
- 13. Истории Если нам сообщают возможность брутфорса аккаунтов: • Мы даем логин example@mail.ru и указываем пароль в виде PassXXX, где XXX - три цифры • Ресерчер должен сбрутить их Ресерчер вручную почти сутки вводил капчу вручную и “сбрутил” тестовый аккаунт :)
- 14. Истории XXE: 1) Пользователь загружает изображения 2) Сайт пытается определить тип изображения и его размеры (разрешены .jpeg / .png) 3) Ресерчер заменил картинку на SVG с XXE 4) Image::Info пытается определить свойства и юзает старую версию libxml 5) pwned
- 15. Истории 1) Студент развернул свой проект на хостинге 2) Запустил сервис, где без авторизации можно исполнять команды ОС 3) Это нашел ресерчер на HackerOne Out of scope, но выплатили $300, т.к. проблема может затрагивать безопасность инфраструктуры.
- 16. Истории Доказываем баг вендору в сложных условиях - https://xakep.ru/2014/10/20/difficult- bug-bounty/ Self XSS важны, так как: • Завтра может стать не Self • Разработчик ошибается при реализации фич • Если Stored - чаще всего есть векторы, как это проэксплуатировать (Login CSRF)
- 17. Самые дорогие уязвимости — самые простые
- 18. Развитие Bug Bounty • Повышали выплаты 22/06/2017 (Server Side) - RCE $3000 => $7000, LFR, RFI, XXE): $2000 => $5000, Injections $2000 => $5000 • Присоединились к Google Play Bug Bounty (+$1000 за критичные уязвимости в Android приложениях - Почта, Облако, TOTP, Календарь) • Работаем над инвайтом ресерчеров для тестирования фич до релиза Принимайте участие ;)
- 19. Stay secure & keep hacking s.belov@corp.mail.ru @sergeybelove