Hallo von der anderen Seite. Ein Interview mit einem Bug-Bounty-Hunter.

Anfang des Monats enthüllte der belgische Bug-Bounty-Jäger Inti De Ceukelaire einen kreativen Hack, von dem Hunderte Unternehmen betroffen sind. Der Trick besteht darin, fehlerhafte Geschäftslogik in gängigen Helpdesk- und Issue-Tracking-Systemen auszunutzen, um Zugriff auf Intranets, Social-Media-Konten oder – am häufigsten – Yammer- und Slack-Teams zu erlangen. Details dazu können Sie in Intis Blogbeitrag nachlesen. Ich war beeindruckt von der Kreativität, die für diesen Exploit nötig war, und neugierig auf den Prozess dahinter. Deshalb habe ich Inti einige Fragen gestellt, deren Antworten ich hier mit Ihnen teile.

Hallo Inti, kannst du dich unseren Lesern kurz vorstellen?

Ich bin Inti, Bug-Bounty-Jäger bei Intigriti und Hackerone. Ich lebe in Aalst (Belgien) und verbringe meine Zeit damit, Dinge kaputtzumachen.

Letzte Woche habe ich deinen Blogbeitrag über den von dir so getauften „Ticket Trick“ gelesen und war beeindruckt von deiner Kreativität bei der Entdeckung dieses Exploits. Wie bist du auf die Idee gekommen, diesen Trick auszuprobieren?

Ich nehme an Bug-Bounty-Programmen teil, bei denen bestimmte Websites verantwortungsbewussten Sicherheitsforschern Geld für das Entdecken einzigartiger Schwachstellen zahlen. Da der Wettbewerb groß ist, muss man ständig nach Dingen suchen, die andere noch nicht gefunden haben. Ich hielt Slack für einen interessanten Angriffsvektor, da dort oft sensible Informationen liegen und manchmal nur eine gültige Firmen-E-Mail erforderlich ist. Also habe ich mir ein Bier geschnappt, mich aufs Sofa gelegt und über alle möglichen Angriffsvektoren nachgedacht. Plötzlich hatte ich diese verrückte Idee – und sie funktionierte tatsächlich. Ich probiere generell alles aus, was mir in den Sinn kommt. Auch wenn das nur selten klappt, zahlt es sich aus. ;-)

Als jemand, der normalerweise auf der anderen Seite arbeitet und versucht, Code abzusichern, frage ich mich oft, wie eine Pentesting-Sitzung aussieht. Wo arbeitest du? Machst du das auch in deiner Freizeit vom Sofa aus? Oder sitzt du in einem Büro?

Tagsüber arbeite ich als Digital Creative Coder bei einem Radiosender namens Studio Brussel. Das beinhaltet etwas Programmierung und Social Media, aber keine Sicherheitsthemen. Ich versuche, mein Hobby nicht mit meinem Beruf zu vermischen. Ich fürchte, sonst würde ich meine Kreativität verlieren. Ich hacke nicht so oft: maximal ein paar Stunden pro Woche. Das kann am Tisch, auf dem Sofa oder im Bett sein – ganz egal, wo es gerade bequem ist.

Wie fängst du an? Hast du eine Checkliste? Nutzt du bestimmte Eingaben, um zu testen, ob eine ausreichende Validierung oder Output-Maskierung stattfindet?

Ich bin ziemlich chaotisch, daher habe ich keine wirkliche Checkliste; ich verlasse mich auf mein Bauchgefühl. Meistens beginne ich mit dem sogenannten Recon: Ich liste alle interessanten Zielinformationen, Subdomains, IP-Adressen und alles, was ich finden kann, auf. Ich versuche, das große Ganze zu sehen und die Geschäftslogik zu verstehen, bevor ich überhaupt mit dem Hacken beginne. Wenn man nur nach den Standard-Schwachstellen aus dem Lehrbuch sucht, übersieht man viele der clevereren und komplexeren Fehler. Was die Eingaben angeht, versuche ich, so viele Schwachstellen wie möglich mit einem einzigen Payload abzudecken. Wenn ich etwas Interessantes entdecke, spiele ich eine Weile damit herum und werfe eine Menge Unsinn hinein, nur um zu sehen, wie das System reagiert. Die besten Bugs finden sich oft in den entlegeneren Teilen einer Webanwendung, also versuche ich, so tief wie möglich zu graben.

Was macht deiner Meinung nach einen guten Pentester aus? Hast du ein paar Tricks auf Lager, die du uns verraten kannst?

Ich bin kein Pentester, daher kann ich nicht wirklich für alle sprechen, aber ich denke, Motivation und Beharrlichkeit sind die wichtigsten Eigenschaften. Die meisten Leute würden gar nicht erst in Erwägung ziehen, bei Google nach Sicherheitslücken zu suchen, weil sie die besten Ingenieure der Welt haben – und doch zahlen sie jedes Jahr Millionen an Bug-Bounties aus. Ich arbeite seit über zwei Jahren an einem Ziel und fange jetzt erst an, die wirklich interessanten Bugs zu finden. Das dauert seine Zeit. Das Problem beim normalen Pentesting ist, dass die Tester einen festen Betrag erhalten, egal ob sie kritische Schwachstellen finden oder nicht. Ich glaube, dass es bei Facebook immer noch jede Menge Bugs gibt; man braucht nur jemanden, der bereit ist, tief genug zu graben.

Was war dein erster Gedanke, als dir das Ausmaß des Ticket Tricks klar wurde?

Ich hatte gemischte Gefühle. Ich war erstaunt und dachte sofort an die Bug-Bounties, die ich damit sammeln könnte, aber andererseits war ich schockiert, dass so etwas überhaupt möglich war. Wenn man so etwas findet, besitzt man plötzlich eine Menge wertvoller Informationen, an denen böswillige Akteure sehr interessiert wären. Der Offenlegungsprozess ist schwierig: Man muss so viele betroffene Unternehmen wie möglich informieren, aber gleichzeitig sicherstellen, dass die Informationen nicht nach außen dringen oder missbraucht werden.

Warum hast du dich entschieden, die Informationen zu veröffentlichen, bevor du weitere Bounties gesammelt hast?

Das Richtige zu tun ist wichtiger, als Bounties zu sammeln. Ich denke, ich habe meinen Teil bekommen und möchte nun der Community etwas zurückgeben. Außerdem habe ich Unternehmen schon seit Monaten über dieses Problem informiert, sodass immer mehr Leute davon wussten. Ich wollte nicht, dass es durchsickert oder von jemandem mit bösen Absichten missbraucht wird.

Wie hast du die Reaktionen der betroffenen Unternehmen empfunden?

Die meisten Reaktionen waren zufriedenstellend. Manche Unternehmen hat es nicht wirklich interessiert, aber am Ende des Tages ist das ihr Verlust. Als Sicherheitsforscher abgelehnt zu werden, gehört zum Spiel dazu. Zumindest habe ich keine Klagen bekommen. Vor 10 Jahren wäre das wahrscheinlich der Fall gewesen.

Eine letzte Frage: Auf Reddit habe ich gelesen, dass du 8.000 Dollar an Bug-Bounties erhalten hast. Hast du schon coole Pläne, wie du das Geld ausgeben willst?

Insgesamt habe ich durch diesen Bug mehr als 20.000 Dollar bekommen. Über die Hälfte davon geht für Steuern drauf. Den Rest gebe ich für ganz normale Dinge aus, wie Reisen, Restaurantbesuche ... nichts Verrücktes. :-)

Vielen Dank für deine Zeit und viel Erfolg bei der weiteren Jagd!

Der Bug existiert immer noch. Er lässt sich nicht sofort beheben. In den letzten Monaten habe ich im Rahmen von Bug-Bounty-Programmen Dutzende Unternehmen und betroffene Anbieter kontaktiert, damit sie ihre Systeme absichern.

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c