Saludos desde el otro lado. Entrevista con un cazador de errores.

A principios de este mes, el cazador de errores belga Inti De Ceukelaire reveló un hackeo creativo que afecta a cientos de empresas. El truco consiste en explotar una lógica de negocio defectuosa en servicios de asistencia y rastreadores de incidencias populares para obtener acceso a intranets, cuentas de redes sociales o, más a menudo, a equipos de Yammer y Slack. Puedes leer los detalles en la propia entrada del blog de Inti. Me impresionó la creatividad necesaria para idear este exploit y sentí curiosidad por el proceso, así que decidí hacerle algunas preguntas a Inti y comparto sus respuestas contigo.

Hola Inti, ¿puedes presentarte brevemente a nuestros lectores?

Soy Inti, cazador de errores en Intigriti y Hackerone. Vivo en Aalst (Bélgica) y paso mis días rompiendo cosas.

La semana pasada leí tu entrada en el blog sobre lo que has llamado 'Ticket Trick' y me impresionó tu creatividad para encontrar este exploit. ¿Cómo se te ocurrió la idea de probar este truco?

Participo en programas de recompensas por errores, lo que significa que ciertos sitios web ofrecen dinero a investigadores de seguridad responsables que descubren vulnerabilidades únicas. Como hay mucha competencia, tienes que seguir buscando cosas que otros aún no hayan encontrado. Pensé que Slack era un vector de ataque interesante porque a menudo contiene información confidencial y, a veces, solo requiere un correo electrónico corporativo válido. Así que agarré una cerveza, me tumbé en el sofá y empecé a pensar en todos los posibles vectores de ataque. De repente tuve esta idea loca, y resultó que funcionó. Por lo general, intento todo lo que se me pasa por la cabeza. Aunque solo funciona unas pocas veces, merece la pena. ;-)

Como alguien que suele trabajar en el lado opuesto, intentando asegurar código, a menudo me pregunto cómo es una sesión de pentesting. ¿Dónde trabajas? ¿Es algo que también haces en tu tiempo libre desde el sofá? ¿O te sientas en una oficina?

Durante el día trabajo como programador creativo digital en una emisora de radio llamada Studio Brussel. Implica algo de programación y algo de redes sociales, pero nada de seguridad. Intento no mezclar mi afición con mi trabajo profesional. Me temo que perdería mi creatividad si lo hiciera. No hackeo tan a menudo: como máximo unas pocas horas a la semana. Puede ser en la mesa, en el sofá o en mi cama, lo que sea cómodo en ese momento.

¿Cómo empiezas? ¿Tienes una hoja de trucos? ¿Tienes algunos inputs para probar si hay suficiente validación de entrada o escape de salida?

Soy muy caótico, así que no tengo una lista de verificación, simplemente uso mi instinto. La mayoría de las veces empiezo con algo llamado reconocimiento: listar toda la información interesante del objetivo, subdominios, direcciones IP, lo que pueda encontrar. Intento ver el panorama general y entender la lógica de negocio antes incluso de empezar a hackear. Si solo buscas las vulnerabilidades estándar de libro de texto, te perderás muchos de los fallos más inteligentes y complejos. Cuando se trata de la entrada, intento cubrir tantas vulnerabilidades como sea posible en un solo payload. Siempre que descubro algo interesante, juego con ello un rato y le lanzo un montón de tonterías, solo para ver cómo reacciona el sistema. Los mejores errores a menudo se pueden encontrar en las partes más remotas de una aplicación web, así que intento cavar tan profundo como puedo.

¿Qué crees que hace a un buen pentester? ¿Algún truco bajo la manga que puedas compartir con nosotros?

No soy pentester, así que no puedo hablar realmente por los pentesters en general, pero creo que la motivación y la persistencia son los activos más importantes. La mayoría de la gente ni siquiera consideraría buscar vulnerabilidades de seguridad en Google porque tienen los mejores ingenieros del mundo, y sin embargo pagan millones en recompensas por errores cada año. Llevo trabajando en un objetivo durante más de 2 años y ahora estoy empezando a encontrar los errores realmente interesantes. Lleva su tiempo. El problema del pentesting normal es que a los evaluadores se les recompensa con una cantidad fija, encuentren o no vulnerabilidades críticas. Creo que todavía quedan muchos errores en Facebook, solo hace falta alguien que esté dispuesto a cavar lo suficientemente profundo.

Cuando te diste cuenta de la magnitud del Ticket Trick, ¿cuál fue tu primer pensamiento?

Tuve sentimientos encontrados. Me sentí asombrado e inmediatamente pensé en las recompensas que podría cobrar con ello, pero por otro lado me sorprendió que esto fuera posible. Siempre que encuentras algo así, de repente posees mucha información valiosa en la que las partes malintencionadas estarían muy interesadas. El proceso de divulgación es difícil: tienes que informar a tantas empresas afectadas como sea posible, pero por otro lado, tienes que asegurarte de que la información no se filtre ni se utilice de forma indebida.

¿Por qué decidiste publicar la información antes de cobrar más recompensas?

Hacer lo correcto es más importante que cobrar recompensas. Creo que ya tuve mi parte y ahora quiero devolver algo a la comunidad. Además, llevo meses informando a las empresas sobre este problema, así que cada vez más gente lo sabía. No quería que se filtrara o que alguien con malas intenciones lo utilizara indebidamente.

¿Cómo te sentiste con las respuestas de las empresas afectadas?

La mayoría de las respuestas fueron satisfactorias. A algunas empresas realmente no les importó, pero al fin y al cabo, es su pérdida. Ser rechazado como investigador de seguridad es parte del juego. Al menos no recibí ninguna demanda. Hace 10 años, probablemente ese habría sido el caso.

Una última pregunta: leí en Reddit que ganaste 8000 dólares en recompensas por encontrar errores. ¿Tienes algún plan interesante para gastar ese dinero?

En total, obtuve más de 20 000 dólares por este error. Más de la mitad se va en impuestos. El resto lo gasto en cosas normales, como viajes o salir a cenar... nada del otro mundo. :-)

Muchas gracias por tu tiempo y mucha suerte en tus futuras búsquedas.

El error sigue ahí fuera. No es algo que se pueda solucionar de inmediato. Durante los últimos meses, contacté a decenas de empresas y proveedores afectados a través de sus programas de recompensas para que corrigieran su configuración.

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c