หาเงิน 330 ล้านวอนด้วยการแฮ็ก Apple ตลอด 3 เดือน

 (samcurry.net)
8 คะแนน โดย xguru 2020-10-09 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

วิศวกร 5 คนเข้าร่วมโปรแกรม bug bounty ของ Apple และสรุปรายละเอียดการแฮ็กในวงกว้างที่พวกเขาทำไว้

→ พบช่องโหว่ 32 รายการ และได้รับเงินรางวัลรวม $288500 (330 ล้านวอน)

  • โครงสร้างพื้นฐานของ Apple มีขนาดมหาศาล โดยเป็นเจ้าของช่วง IP ทั้งหมด 17.0.0.0/8 และมีเว็บเซิร์ฟเวอร์ 25,000 เครื่อง

  • 10,000 เครื่องเกี่ยวข้องกับ apple.com และที่เหลือคือโดเมนเฉพาะ 7,000 โดเมน (รวมโดเมน .apple)

พวกเขาใช้การ brute forcing ไดเรกทอรีโดยมีช่วง IP นี้ รวมถึงโดเมน apple.com และ icloud เป็นเป้าหมายหลัก

จากนั้นจึงทำความเข้าใจวิธีการทำงานของระบบยืนยันตัวตน/สิทธิ์ภายใน Apple รวมถึงแอปสำหรับลูกค้า/พนักงาน การเชื่อมต่อระบบ และเครื่องมือพัฒนา

จากช่องโหว่ที่ค้นพบ จึงมีการยกมา 12 รายการพร้อมคำอธิบาย

  1. Full Compromise of Apple Distinguished Educators Program via Authentication and Authorization Bypass

  2. Full Compromise of DELMIA Apriso Application via Authentication Bypass

  3. Wormable Stored Cross-Site Scripting Vulnerabilities Allow Attacker to Steal iCloud Data through a Modified Email

  4. Command Injection in Author’s ePublisher

  5. Full Response SSRF on iCloud allows Attacker to Retrieve Apple Source Code

  6. Nova Admin Debug Panel Access via REST Error Leak

  7. AWS Secret Keys via PhantomJS iTune Banners and Book Title XSS

  8. Heap Dump on Apple eSign Allows Attacker to Compromise Various External Employee Management Tools

  9. XML External Entity processing to Blind SSRF on Java Management API

  10. GBI Vertica SQL Injection and Exposed GSF API

  11. Various IDOR Vulnerabilities

  12. Various Blind XSS Vulnerabilities

การเขียนและเผยแพร่บทความนี้ก็ได้รับอนุญาตจากทีมความปลอดภัยของ Apple เช่นกัน (และช่องโหว่เหล่านี้ได้รับการแก้ไขหมดแล้ว)

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
xguru 2020-10-09

ในเนื้อหาระบุว่าได้รับ $51500 จนถึงวันที่ 10/4 แต่หลังจากบทความถูกเผยแพร่ Apple ได้ติดต่อมา

และแจ้งว่าจะมอบเงินรางวัลเพิ่มอีก $237000 สำหรับช่องโหว่รวม 28 รายการ ทำให้ยอดรวมเป็น $288500

https://twitter.com/samwcyo/status/1314310787243167744

มีทั้งหมด 5 คน ก็เท่ากับคนละประมาณ 60 ล้านบาท และกลายเป็นงานที่ทำรายได้เดือนละ 20 ล้านบาท

สมกับเป็น XSS ที่แม้แต่ Apple ก็ยังมีปัญหาอยู่มากจริง ๆ