«Получаю до $10 000 в месяц». Как «русские хакеры» взламывают PornHub и QIWI за деньги

Хакер Скворцов рассказал, как начинающему «белому взломщику» заработать первые деньги

На какие тактики настраивать РСЯ, какие фразы подбирать, кому показывать рекламу, как получать...
7 часов назад
На какие тактики настраивать РСЯ, какие фразы подбирать, кому показывать рекламу, как получать...
8 часов назад

— Когда вы начали охотиться за ошибками и какую уязвимость вы нашли первым?

— Я начал охотиться за червями в 2017 году, в возрасте 18 лет. Я действительно не знал, что такое информационная безопасность и щедрость. Тем не менее, у меня были хорошие навыки в области программирования и обратной инженерии.

Например, однажды я обнаружил пробел на одном из сайтов социальных сетей, который позволил публиковать сообщения на веб -сайте любого пользователя от его имени, но без его знаний. Это сработало следующим образом: было возможно отправить ссылку на жертву, после того, как нажал на нее, сценарий начался, и все это — сообщение с любым текстом, желаемым злоумышленником, может появиться на странице любого блоггера. Такой текст может быть шуткой или, например, рекламой для любого продукта.

— Правильно ли я предположить, что вы «продали» этот разрыв в социальных сетях?

— Да, но этого не произошло сразу. Точнее, я понятия не имел, что смогу получить деньги на свое открытие. Я только написал поддержке поддержки и получил предложение сообщить о промежутке через инструмент Bug Bounty для Hackerone, самой популярной в мире платформы Bug Bounty. Итак, я сделал это.

Вскоре 200 долларов заплатили за мою уязвимость. Это была огромная сумма для меня. Я все еще учился в колледже и все еще жил в общежитии. После этого случая я начал понимать, что такое щедрость ошибки, как вы можете заработать на нем и как искать восприимчивость и сообщать об этом компаниям в соответствии с политикой неразглашения. Я сразу захотел развиваться в этой области.

— Сколько восприимчивости была найдена до сих пор и продает?

— Что были компании?

— Все виды. В основном социальные сети, онлайн -услуги, такие как Gitlab или Slack. Много восприимчивости было обнаружено в платежной службе Qiwi. Был даже вопрос, связанный с Pornhub.

— Pornhub? Извините, я не могу спросить, в каких обстоятельствах вы нашли разрыв на этой странице? Вы пришли в качестве постоянного посетителя и подумали: «Позвольте мне похоронить в коде»?

— Это более обыденное. Я выбрал цель из общего списка, опубликованного на платформе Hackerone, так же, как и все другие охотники за ошибками, и я пошел, чтобы сломать ее.

— Можете ли вы сказать нам, что это за восприимчивость?

— Хотя этот разрыв уже был организован, я все еще не могу раскрыть детали. Команда программистов не согласилась раскрывать его содержание.

— Сколько ты получил за него?

— Правильно ли я предположить, что все пробелы, которые вы обнаружили, стоят около 200 долларов?

Каждая программа щедрости с ошибкой имеет определенный диапазон денежных призов для найденных пробелов. Различные типы восприимчивости выплачиваются по -разному. Чем более опасны восприимчивость и большее влияние на продукт, тем больше исследователя получит деньги за его поиск. Как правило, минимальная выплаченная сумма составляет 50 долларов США, а максимум может достигать сотен тысяч. Конечно, я не получил сотни тысяч, но я, конечно, получил более 3000 долларов.

— Сколько денег вы зарабатываете в месяц на щедрость с ошибкой?

— Это зависит от усилий и счастья.

Если я попробую, я могу зарабатывать более 10 000 долларов в месяц; Если я ленив, я могу заработать до 100 долларов.

— Вы работаете где -нибудь навсегда?

— Я работаю в одной из ведущих российских компаний по информационной безопасности, и для меня ошибки — это исследовательская работа, которую я делаю в свободное время: это интересно, развивает меня как специалист и, конечно, приносит мне дополнительный доход, что вы должны признать , это тоже неплохо. И когда я говорю о сумме заработка в Bugghunting, я имею в виду сумму, которая, конечно, не включает зарплату.

— Как это произошло, в котором вы работали? Ты хакер!

— Да, хакер, но «белый». Я исследователь безопасности. Опыт таких специалистов, как я, очень необходим в оборонительной стороне: мы знаем, как смотреть на системы каждой организации и найти в них те пробелы, которые хакеры, скорее всего, ищут тех, кто нацелен на вмешательство. И да, позвольте мне на мгновение тщеслать и скажите, что я работал с большим нежеланием.

В резюме у меня была одна строка со ссылкой на мой профиль на хакероне. Я больше ничего не давал и работал. В интервью мой будущий босс шутил, насколько информативным было мое резюме.

НАЧНИТЕ ЗАРАБАТЫВАТЬ ДО 100 000 В МЕСЯЦ В АВТОРЕЖИМЕ
7 часов назад
НАЧНИТЕ ЗАРАБАТЫВАТЬ ДО 100 000 В МЕСЯЦ В АВТОРЕЖИМЕ
10 часов назад

Таким образом, наличие хорошего рейтинга на платформе Bug Bounty в некотором смысле лучше, чем красный диплом. Конечно, у меня есть университетское высшее образование. Но это не красное.

— Вы упомянули счастье. Можете ли вы объяснить, что это влияет на ошибку?

— Например, вы можете найти пробел, отправить отчет и дождаться ответа от компании. Через несколько часов или дней вы видите, что пробел, который вы нашли, закрыт для хакероне и помечен как дубликат. Это означает, что другой хакер нашел разрыв в то же время, что и вы. В этом случае награда доступает к человеку, который был первым, кто сообщил.

Иногда также случается, что разрыв после уведомления получает статус информации. Это означает, что компания решила не ремонтировать разрыв, потому что она считала его некритическим. В этом случае, конечно, вы тоже не зарабатываете деньги.

— А какой статус указывает, что кошелек скоро станет тяжелее?

— Все ждут, когда статус, поступивший в триат, после которого распределяется оплата. Приз обычно передается на банковский счет, PayPal или Bitcoin (Coinbase) в тот же день.

В некоторых случаях команда Bug Bounty может заплатить приз после исправления разрыва, то есть в среднем через месяц. Но были случаи, когда я получил платеж через несколько лет после уведомления.

Вы даже забыли, что где -то что -то нашли и сообщили, а затем вы получите уведомление по электронной почте об оплате. Это как найти деньги в зимней куртке в начале сезона. Тем не менее, это редко, обычно ожидание приза до месяца.

— Скажите мне, какая восприимчивость была для вас наиболее прибыльной?

— Однажды я раскрыл пробел, который позволил мне обойти плату за трансфер в одной из популярных платежных систем. Это может быть отремонтировано только в определенном месте. Это означает, что я нашел его на одной странице и исправил его на этой странице. После обновления сайта разрыв появился на другой странице, поэтому вы должны исправить его снова. Было невозможно исправить разрыв, навсегда установив только одну поправку навсегда.

Поэтому я начал искать такие места. В итоге я отправил пять отчетов по одной восприимчивости к атаке, и компания для каждого из них заплатила мне награду.

Другие исследователи не могли найти пробел, который я нашел, потому что информация, содержащаяся в отчетах, была секретной. Поиск восприимчивости к слепому, с нуля, может длиться месяцами. Никто этого не сделает.

— Существуют ли конфликты между хакерами белых воротников и клиентов? Есть ли в этой отрасли мошенники и трюки?

— Biznes Bug Bounty основана на доверии между компаниями и хакерами в белых воротниках. В это может быть трудно поверить, но в этом случае доверие является основой, которая так же сильна, как контракты с большим количеством печатей, и подписи десятков важных людей.

Я имею в виду, что в индустрии Bug Bounty Bounty Conflicks возникают, но очень редко. Иногда, например, разрыв обнаруживается в СМИ после уведомления, или владельцы программы Bug Bounty рассмотрели журналы и обнаружили, что исследователь использовал его. Затем им отказано в праве на вознаграждение.

Я должен подчеркнуть, что такое поведение противоречит этическим принципам реального исследователя.

— Мой скромный опыт с пентрами не позволяет мне понять, почему они не хотят раскрывать свою личность. Можете ли вы раскрыть причины скрытного поведения «белых» хакеров?

— Я бы не сказал, что это правило. Это зависит от человека. Чаще всего наоборот — люди идут повсюду, выступают речи, показывают презентации.

Как правило, когда вы начинаете понимать, как все работает, вы начинаете по -разному думать о онлайн -безопасности. Вы добавляете символы в пароли, и дважды задаетесь вопросом, вводить ли ваши данные на неизвестной странице. Я не заметил тенденции прятаться всеми.

Hackerone перестал работать с русскими охотниками за ошибками. Что изменилось в вашей работе в связи с этим? Как вы испытываете, так сказать, расстаетесь с хакероном?

— Есть еще не так много альтернативы Hackerone, но они начали появляться, также в России. Например, уже существует платформа Bugbounty.ru, зажигательная щедрость с ошибкой 365 началась весной, и к концу года, согласно слухам, будет один или два. Это, безусловно, помогает российским «белым» хакерам. Тем не менее, я бы не сказал, что эти платформы интересны только потому, что Hackerone был закрыт.

Некоторые из российских платформ предлагают уникальные проблемы. Например, на щедрости с ошибкой в ​​сносе 365 вы можете не только искать уязвимость, но и предложить, как они используются в SO -названии Недопустимые события, хакерские атаки. Я думаю, что это довольно необычный опыт, чтобы чувствовать себя у киберпреступников.

— Я уверен, что после прочтения этого интервью кто -то захочет стать Пентерестер. У вас есть какие -либо советы для начинающих хакеров белых воротников?

— Исследователь -начинающий может изначально попытаться проверить открытые отчеты других людей в других программах Bug Bounty, а затем найти аналогичные пробелы и заработать деньги таким образом. Я сделал это в начале.

Однако, когда новички получают опыт, это, вероятно, станет неинтересным. Они захотят найти новые векторы атаки самостоятельно и открыть для себя вещи, которые никто не придумал. Это как перейти на более высокий уровень.

[НИКАКОЙ МАГИИ] Как превратить $5 в $500...
7 часов назад
[НИКАКОЙ МАГИИ] Как превратить $5 в $500...
8 часов назад

Читайте также