バグバウンティハンターへのインタビュー。

今月初め、ベルギーのバグ報奨金ハンターであるInti De Ceukelaire氏が、何百もの企業に影響を及ぼす独創的なハッキング手法を公開しました。このトリックは、一般的なヘルプデスクや課題管理ツールのビジネスロジックの欠陥を悪用し、イントラネットやソーシャルメディアのアカウント、あるいは多くの場合YammerやSlackのチームへのアクセス権を取得するというものです。詳細はInti氏のブログ記事で読むことができます。私はこのエクスプロイトを思いつくために必要な創造性に感銘を受け、そのプロセスに興味を持ったため、Inti氏にいくつか質問を投げかけ、その回答を皆さんと共有することにしました。

Intiさん、読者の皆さんに簡単に自己紹介をお願いできますか？

Intiです。IntigritiとHackeroneでバグ報奨金ハンターをしています。ベルギーのアルストに住んでいて、日々「何かを壊す」ことに時間を費やしています。

先週、あなたが「Ticket Trick」と名付けたブログ記事を読みましたが、このエクスプロイトを見つけ出したあなたの創造性に感銘を受けました。このトリックを試そうと思ったきっかけは何だったのでしょうか？

私はバグ報奨金プログラムに参加しています。これは、特定のウェブサイトが、ユニークな脆弱性を発見した責任あるセキュリティ研究者に対して報奨金を支払うという仕組みです。競争が激しいため、他の人がまだ見つけていないものを探し続けなければなりません。Slackは機密情報を保持していることが多く、時には会社の有効なメールアドレスさえあればアクセスできてしまうため、興味深い攻撃ベクトルだと考えました。そこでビールを片手にソファに寝転がり、考えられるあらゆる攻撃ベクトルを思い巡らせていたところ、突然この突飛なアイデアが浮かびました。そして、それが実際に機能したのです。私は基本的に、思いついたことは何でも試すようにしています。それがうまくいくのは稀ですが、それでも報われることはあります。;-)

普段はコードの保護という反対側の立場で仕事をしている身として、ペネトレーションテスト（ペンテスト）がどのようなものなのか、よく疑問に思います。あなたはどこで作業しているのですか？自由時間にソファでくつろぎながら行うものなのでしょうか？それともオフィスに座って行っているのでしょうか？

日中はStudio Brusselというラジオ局でデジタルクリエイティブコーダーとして働いています。プログラミングやソーシャルメディア関連の仕事ですが、セキュリティとは無関係です。趣味と本業を混ぜないようにしています。混ぜてしまうと創造性を失ってしまう気がするからです。ハッキングはそれほど頻繁には行っておらず、週に数時間程度です。テーブルの上だったり、ソファやベッドの上だったり、その時々で快適な場所で行っています。

どのように作業を始めるのですか？チェックリストのようなものはありますか？入力値の検証や出力のエスケープが十分かどうかをテストするための入力パターンなどは持っていますか？

私はかなり大雑把なので、チェックリストは持っておらず、直感に従っています。たいていの場合、「偵察」と呼ばれる作業から始めます。ターゲットに関する興味深い情報、サブドメイン、IPアドレスなど、見つけられる限りの情報をリストアップします。ハッキングを始める前に、全体像を把握し、ビジネスロジックを理解するようにしています。教科書通りの標準的な脆弱性ばかりを探していると、より巧妙で複雑な欠陥を見逃してしまいます。入力に関しては、一つのペイロードで可能な限り多くの脆弱性をカバーできるようにしています。何か興味深いものを見つけたら、しばらくそれを使って遊び、大量の無意味なデータを投げ込んで、システムがどう反応するかを確認します。最高のバグはウェブアプリケーションの目立たない部分で見つかることが多いので、できるだけ深く掘り下げるようにしています。

優れたペンテスターとはどのような人だと思いますか？何か秘訣があれば教えていただけますか？

私はペンテスターではないので、一般論として語ることはできませんが、モチベーションと粘り強さが最も重要な資質だと思います。多くの人は、Googleには世界最高のエンジニアがいるからといって、Googleのセキュリティ脆弱性を探そうともしません。しかし、Googleは毎年何百万ドルものバグ報奨金を支払っています。私はあるターゲットに対して2年以上取り組んでおり、ようやく本当に興味深いバグにたどり着き始めています。時間がかかるものなのです。通常のペンテストの問題点は、重大な脆弱性を見つけたかどうかに関わらず、テスターに一定の報酬が支払われることです。Facebookにはまだ多くのバグが残っていると信じています。ただ、深く掘り下げる意欲のある人が必要なだけなのです。

「Ticket Trick」の規模を認識したとき、最初に何を思いましたか？

複雑な心境でした。驚きとともに、これでどれだけの報奨金が得られるかという考えがすぐに浮かびましたが、その一方で、こんなことが可能だという事実に衝撃を受けました。このようなものを見つけると、悪意のある者が喉から手が出るほど欲しがる貴重な情報を、突然自分が手にしてしまうことになります。開示プロセスは困難なものです。影響を受ける企業にできるだけ多く知らせる必要がある一方で、情報が漏洩したり悪用されたりしないようにしなければなりません。

なぜ、さらなる報奨金を集める前に情報を公開することにしたのですか？

報奨金を集めることよりも、正しい行いをすることの方が重要だからです。自分は十分な報酬を得たと思っていますし、これからはコミュニティに還元したいと考えています。それに、何ヶ月も前から企業にこの問題を知らせていたので、知っている人が増えすぎていました。悪意のある誰かに漏洩したり悪用されたりする事態は避けたかったのです。

影響を受けた企業からの反応についてはどう感じましたか？

ほとんどの反応は満足のいくものでした。中には全く気にしない企業もありましたが、結局のところ、それは彼らの損失です。セキュリティ研究者として拒絶されることは、この世界ではよくあることです。少なくとも訴訟を起こされることはありませんでした。10年前なら、おそらくそうなっていたでしょう。

最後に一つ質問です。Redditで、バグ報奨金として8,000ドルを獲得したという投稿を見かけましたが、その使い道について何か面白い計画はありますか？

このバグで合計2万ドル以上を獲得しました。その半分以上は税金で消えてしまいます。残りは旅行や外食など、ごく普通のことに使っています。特別な贅沢はしていませんよ。:-)

お忙しい中、貴重なお時間をいただきありがとうございました。今後のバグハントでのご活躍をお祈りしています！

そのバグは今も存在しています。すぐに対処できるような問題ではないからです。ここ数ヶ月間、私はバグ報奨金プログラムの一環として、数十社もの企業や影響を受けるベンダーに連絡を取り、システムの修正を促してきました。

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c