Bonjour d'ailleurs. Entretien avec un chasseur de primes de bugs.

Plus tôt ce mois-ci, le chasseur de bugs belge Inti De Ceukelaire a révélé une astuce ingénieuse qui affecte des centaines d'entreprises. Elle consiste à exploiter une logique métier défaillante dans des services d'assistance et des outils de suivi de tickets populaires pour accéder à des intranets, des comptes de réseaux sociaux ou, le plus souvent, à des équipes Yammer et Slack. Vous pouvez en lire les détails sur le blog d'Inti. J'ai été impressionné par la créativité nécessaire pour concevoir cette faille et curieux du processus, j'ai donc décidé de poser quelques questions à Inti, et je partage ses réponses avec vous.

Bonjour Inti, peux-tu te présenter brièvement à nos lecteurs ?

Je suis Inti, chasseur de bugs chez Intigriti et Hackerone. J'habite à Alost (Belgique) et je passe mes journées à casser des trucs.

La semaine dernière, j'ai lu ton article sur ce que tu as appelé le « Ticket Trick » et j'ai été impressionné par ta créativité pour trouver cette faille. Comment t'est venue l'idée de tester cette astuce ?

Je participe à des programmes de prime aux bugs, ce qui signifie que certains sites offrent de l'argent aux chercheurs en sécurité responsables qui découvrent des vulnérabilités uniques. Comme la concurrence est rude, il faut chercher ce que les autres n'ont pas encore trouvé. Je trouvais que Slack était un vecteur d'attaque intéressant car il contient souvent des informations sensibles et ne nécessite parfois qu'une adresse e-mail professionnelle valide. Alors, j'ai pris une bière, je me suis allongé sur le canapé et j'ai commencé à réfléchir à tous les vecteurs d'attaque possibles. Soudain, j'ai eu cette idée folle, et il s'est avéré qu'elle fonctionnait. En général, j'essaie tout ce qui me passe par la tête. Même si ça ne marche que rarement, ça finit par payer. ;-)

En tant que personne travaillant habituellement de l'autre côté, à essayer de sécuriser le code, je me demande souvent à quoi ressemble une session de pentest. Où travailles-tu ? Est-ce quelque chose que tu fais aussi pendant ton temps libre, depuis ton canapé ? Ou travailles-tu dans un bureau ?

Pendant la journée, je travaille comme codeur créatif numérique pour une station de radio appelée Studio Brussel. Cela implique un peu de programmation et de réseaux sociaux, mais pas de sécurité. J'essaie de ne pas mélanger mon passe-temps avec mon travail professionnel. J'ai peur de perdre ma créativité si je le faisais. Je ne hacke pas si souvent : quelques heures par semaine au maximum. Ça peut être à table, sur le canapé ou dans mon lit, selon ce qui est le plus confortable à ce moment-là.

Comment commences-tu ? As-tu une antisèche ? As-tu des entrées pour tester s'il y a une validation des entrées ou un échappement des sorties suffisant ?

Je suis très chaotique, donc je n'ai pas vraiment de liste de contrôle, je me fie à mon instinct. La plupart du temps, je commence par ce qu'on appelle la reconnaissance : lister toutes les informations cibles intéressantes, les sous-domaines, les adresses IP, tout ce que je peux trouver. J'essaie de voir la situation dans son ensemble et de comprendre la logique métier avant même de commencer à hacker. Si vous ne cherchez que les vulnérabilités classiques, vous passerez à côté de beaucoup de failles plus intelligentes et complexes. Pour ce qui est des entrées, j'essaie de couvrir autant de vulnérabilités que possible dans une seule charge utile. Dès que je découvre quelque chose d'intéressant, je joue un peu avec et j'y injecte beaucoup de données absurdes, juste pour voir comment le système réagit. Les meilleurs bugs se trouvent souvent dans les parties les plus reculées d'une application web, alors j'essaie de creuser aussi profondément que possible.

Selon toi, qu'est-ce qui fait un bon pentester ? As-tu des astuces à nous partager ?

Je ne suis pas pentester, donc je ne peux pas vraiment parler au nom des pentesters en général, mais je pense que la motivation et la persévérance sont les atouts les plus importants. La plupart des gens n'envisageraient même pas de chercher des vulnérabilités de sécurité chez Google parce qu'ils ont les meilleurs ingénieurs du monde, et pourtant, ils versent des millions de dollars de primes aux bugs chaque année. Je travaille sur une cible depuis plus de 2 ans et je commence seulement à trouver les bugs vraiment intéressants. Cela prend du temps. Le problème avec le pentest classique, c'est que les testeurs sont rémunérés d'un montant fixe, qu'ils trouvent des vulnérabilités critiques ou non. Je crois qu'il reste encore beaucoup de bugs chez Facebook, il suffit juste de quelqu'un qui soit prêt à creuser assez profondément.

Quand tu as réalisé l'ampleur du Ticket Trick, quelle a été ta première pensée ?

J'avais des sentiments mitigés. J'étais émerveillé et j'ai immédiatement pensé aux primes que je pourrais récolter, mais d'un autre côté, j'étais choqué que cela soit possible. Chaque fois que vous trouvez quelque chose comme ça, vous possédez soudainement beaucoup d'informations précieuses auxquelles des parties malveillantes seraient très intéressées. Le processus de divulgation est difficile : vous devez informer autant d'entreprises concernées que possible, mais d'un autre côté, vous devez vous assurer que les informations ne soient pas divulguées ou utilisées à mauvais escient.

Pourquoi as-tu décidé de divulguer les informations avant de collecter plus de primes ?

Faire ce qui est juste est plus important que de collecter des primes. Je pense avoir eu ma part et je veux maintenant rendre à la communauté. De plus, j'informais les entreprises de ce problème depuis des mois, donc de plus en plus de gens étaient au courant. Je ne voulais pas que cela soit divulgué ou utilisé par quelqu'un avec de mauvaises intentions.

Qu'as-tu pensé des réponses des entreprises concernées ?

La plupart des réponses étaient satisfaisantes. Certaines entreprises ne s'en souciaient pas vraiment, mais au bout du compte, c'est leur perte. Être rejeté en tant que chercheur en sécurité fait partie du jeu. Au moins, je n'ai pas eu de poursuites judiciaires. Il y a 10 ans, cela aurait probablement été le cas.

Une dernière question : j'ai lu sur Reddit que vous aviez remporté 8 000 $ en primes de bug. Avez-vous des projets sympas pour dépenser cet argent ?

Au total, j'ai gagné plus de 20 000 $ grâce à ce bug. Plus de la moitié part dans les impôts. Je dépense le reste pour des choses banales comme des voyages, des sorties au restaurant... rien d'extravagant. :-)

Merci beaucoup pour votre temps et bonne chance pour vos futures recherches !

Le bug existe toujours. Ce n'est pas quelque chose qui peut être corrigé immédiatement. Au cours des derniers mois, j'ai contacté des dizaines d'entreprises et de fournisseurs concernés dans le cadre de leurs programmes de primes aux bugs afin de faire corriger leur configuration.

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c