1つのハックの調査、または10億を迅速かつ簡単に費やす方法

更新：みなさん、こんにちは！ 今日、このエントリーについて同僚から学んだことに驚きました。 私のアカウントがハッキングされたことが判明しました-Habrahabrの代表者はこれを確認し、私へのアクセスを回復し、現在それがどのように起こったかを考えています。 しかし、話のために、このエントリはそのままにします。

Yandexの担当者はすでにコメントで指摘しています。脆弱性は解決され、ソフトウェアセキュリティ監査が進行中であると彼らは言います。



そして、この機会を利用して、 Badooで数年前からBadoo Strength Badooプログラムを実行しており、見つかった脆弱性の代価を支払います。



私たちの周りの誰もが常に汚職について話している。 事例についてお話したいと思います。これは腐敗と非常に似ていますが、純粋なITビジネスの環境では、いかなる形であれ国家と結びついていません。



以下で説明するケースは、ビジネスをハッキングするという観点から興味深いものですが、この記事はITの意味でのハッキングに関するものです。



非技術的な部分から始めます。



私のクラスメートの友人はモスクワのタクシー事業に従事しています。 彼はこのビジネスで長年働いています。 数年前、主要なプレーヤー（そして現在は独占者）であるYandexがモスクワのタクシー市場に参入したとき、もちろん私の友人は（このビジネスの他のすべての大小のプレーヤーと同様に）Yandexタクシーの注文に加わりました。



数年前から彼はROSINFOTECH LLCのソフトウェアを使用してYandex.Taxiで働いています。



約6か月前、Yandex はこの会社を買収し 、現在このソフトウェアはYandex.Taxometerまたはそのようなものと呼ばれています。



このソフトウェアとは：これはドライバー管理キット（車/ドライバーを追加/削除できます）であり、注文を受け入れ/キャンセルして追跡します。



それで、私は技術的でない部分から始めると約束しました。 私のこの友人は、永遠のロシアの問題についての個人的な会合の中で私に不平を言っていました：「彼らは盗みます」。



彼は、ドライバーが盗んで、注文し、さらにQIWI財布からお金であると噂されていると言います...



私はこれについて何とか哲学的でした。 まあ、男は人生について不平を言う。 運転手は彼から別の会社に去りました（連れ去られました）、そして彼は彼が盗まれたと信じています-よくある話。 しかし、今週末、彼はまだ私に懇願しました。「イヴァン、はい、あなたは（あなたが言うように）あなたはセキュリティの専門家ではありません。 結局のところ、あなたはIT担当者です！」



私たちは彼とWiFi付きのカフェに座って見始めました。



噂によると、Yandex-Taxisに取り組んでいる企業のうち、Rosinfotech自体からも来ている企業によると、Yandexは上記のソフトウェアを10億ドルで買収したと言って、非技術的な紹介文を締めくくります。



この図を覚えておいてください 。 記事の最後で必要になります 。



それでは、紹介は終わりました。技術的な部分に移りましょう。



彼はコントロールルームの彼の個人アカウントからユーザー名/パスワードを教えてくれたので、そこに行きました。



ここではすべてが単純です。ドライバーのリスト：追加/削除/ブロック/印刷。 レポート、注文など ページを少し登ってみると 、サイト全体のほとんどがUUIDがリンクまたはリクエストに含まれているという事実に基づいて構築されていることに気付きました。



ドライバーをクリックすると、ドライバーのUUIDがドライバーに関する情報リンクに表示されることがわかります。



それから3つの質問を見つけることは面白くなった：

• 他の会社のドライバーのUUIDを見つけることは可能ですか？
• このUUIDを知っていれば、他の誰かのドライバーに関する情報を取得することは可能ですか（実際に私の友人が不満を言ったこと）
• 他社のドライバーの注文にアクセスすることは可能ですか

個人アカウントのページを確認した後、UUIDが企業にも割り当てられていることに気付きました。



「うん！」と思って、友人にUUIDが何であるか、どこかで使用しているかどうかを尋ね始めました。 「はい、YandexダッシュボードでAPIへのURLを指摘しました。」 「ここに来て」、「このURL」と言います。 彼はこのsync.yandex.taxi.itrf.ru/drivers/<UUID>



ようなものをくれました。 このURLを見ると、解析に便利な形式の友人の会社のすべてのドライバー-XMLが表示されています。 許可なし 。



他の会社のUUIDを調べることは残っています。 どうやってやるの？ 前述したように、サイトの一部の場所では、ブラウザーの一般的なCtrl-Uに他社のUUIDが表示されますが、このソフトウェアを使用してすべての会社のUUIDアドレスを取得することに興味がありました。 約30分間、Ctrl-Uを使用してURLを調べ、すぐにこれを行うための多くの方法を見つけました。



たとえば、このような美しいJSONは同様のリストを示しています。







リストは、モスクワだけでなく、国のすべての地域に直ちに影響することに注意してください。



まあ、または同様のリストは、さまざまな選択、リストなどにあります。 そのような場所はたくさんあります。 ただし、さらに続けます。



ドライバーカードに戻ってよく見ると面白くなってきました。 これを行うために、モスクワの会社の1つを選択しました。XMLをすべてのドライバー（上記のように、許可なく使用可能）で取得し、その上で実験を続けました。







このXMLからいくつかのドライバーを取得し、アカウントのカードにUUIDを入力しました。 ドライバーカードを見ました。 タクシー試験、免許証番号などに合格したときの評価-すべてが表示されます。 ドライバー（見知らぬ人を含む）に関する情報は、UUID付きのurlで入手できます 。



これは拡張情報のようなものです（上記のXMLよりも多い）。



おそらく、このソフトウェアの開発者は、「承認」、「認証」、さらにはそれらの違いについての概念を聞いていませんでした。



そこで、カフェに座ってPythonでスクリプトをスケッチし、20分後にすべての都市（モスクワだけでなく）のすべてのYandex.Taxiドライバーのデータベースを、電話、評価、ライセンス番号、ライセンス番号、口座残高などとともに取得しました。個人情報。



このXLSファイルのようなものを得ました：







そのため、友人がドライバーの盗難を疑った2年以上の重要な証拠を得ました。



それから、この問題をもう少し広く見てみると、面白くなってきました。つまり、これらのUUIDが許可なしで利用できるということです。 それは判明しました！



このソフトウェアは、かなり幅広い関連サービスを提供します。 たとえば、クライアント企業のWebサイトにあるタクシー予約Webフォーム。



いくつかのYandex Taxiパートナーサイトを（Ctrl-U）見たところ、そこで見つけたものは何だと思いますか？ そう！ これらの会社のUUID（すべてのドライバーを無料で入手できます）。



そのため、検索エンジン（Yandexを含む）がこれらの企業や個人の個人データをすべてインデックスに登録する可能性を排除しません。



次に、この会社の許可なしに別のリソースを見ました。 パブリックドメインには、Yandexタクシーのすべての注文のリアルタイムログがあります。 誰が割り当てられているのか、彼に何が起こっているのか、誰がそれを行っているのか、提出先住所などを確認できます。







このページでCtrl-Uを押すと、会社が割り当てられている注文のIDが表示されます。



不正なページで他社の注文のIDの一番下に到達しました（許可されたページにもありますが、繰り返しますが、不正なページで見つけるのは面白かったです）。



さらに、個人アカウントのさまざまな部分で利用可能なツールを使用して、プロセスを観察するだけでなく、 影響を与えることができます。たとえば、会社のキャンセルを注文のキャンセルとして描写し、代わりに車を自分で送信できます！



ドライバーにとっては、注文のキャンセルのように見えます。 クライアントの場合-「別の車が到着しました」。



これは、不誠実なビジネスのやり方を設定している人にとっては、ある種のクロンダイクです！







最も興味深いのは、これが単なる1つのホールではなく、すべてのソフトウェアがそのようなものであり、サービス全体が情報保護がないという事実に基づいているということです。 この製品は、ユーザー間の保護のない一種のデータベースレコードビューアーです。



Googleにログインすると、すべてのGoogleユーザーのすべてのメールを見ることができます。 これは次のようなものです。



ただし、継続します。 複合体には、Android用のアプリケーションも含まれています。 Androidマーケットの「Taximeter」アプリケーションを使用すると、不正なURLを要求することがすぐにわかりました。 そして、このアプリケーションが行う最初の無許可のHTTPリクエストは-どのどれかを推測しますか？



右、UUID名の会社の完全なリスト！



このアプリケーションから取得したURLを使用すると、次のことができます。

• 他のドライバーに代わって注文を受け取る/キャンセルする、
• ブロードキャストおよびターゲットメッセージ（求人など）を他のドライバーに書き込む、

などなど。



ここで、ドライバーが盗まれるだけでなく、これらのドライバーからの注文も盗まれることを確認しました。



彼らは、cな人々がこのトピックに関するYandex.Taxiの注文を傍受するための特別なアプリケーションさえリリースしたと言っています。 残念なことに、Androidマーケットに投稿しませんでした（または公開しましたか？マーケットの有料セクションを調べる必要があります）。



それでは、最初に書いたトピックについて少し考えてみましょう。



破損または破損ではありません。



はい、Yandexは民間企業です。 「破損」という言葉は適用されません。 しかし、興味深い疑問が生じます。Yandexは莫大な金額（10億）でソフトウェアパッケージを購入しています。 同時に、上の写真から判断すると、このソフトウェアパッケージの技術的な監査は行われていません。



私（普通のIT従業員）がカフェで数時間掘り下げて見つけたものは、セキュリティスペシャリストがそれほど難なく見つけることができたでしょうが、問題は、このスペシャリスト（Yandexがたくさんいた）がこの複合体を10億も調べなかったのはなぜですか？



このコンプレックスは「キックバック」システムを使用して購入されたと思いますか？



専門家が監査を行うために1営業日あたり1万ルーブルを割り当てるのではなく、10億ルーブルの取引を行うことは...ええと...故意の過失、または10億ルーブルをもっと早く取り除きたいようです。



これがロールバックを使用して購入されたという説明は、私の意見では、最も論理的です。



興味深い質問：ヤンデックスの誰がそのような「大きな穴」を買うことを決めたのか？ おそらく、彼はYandex Securityの購入状況を明確にし始めなければなりません。

---

PS：AndroidマーケットのTaximeterを調べた後、同じマーケット（ Yandex.Taxi）からタクシーを注文するアプリケーションも調べました。 気分を害するもの-状況は非常に似ています。 セキュリティの問題だけでなく、HighLoadプログラミングの問題からもほど遠い人々によって明らかに作られました。



ただし、これはまったく別の話なので、別の記事を書くことができます。



PPS：最近、Yandex.Taxiは旅行のクレジットカード支払いを導入しました。 個人的には、旅行の代金をクレジットカードで支払うことを何となく恐れています。 あなたはどうですか？

---

UPD： Yandexには問題が通知されているので、ここでは、前述の会社の仲間が使用しているYandex.Taxiビジネスをハッキングする方法について説明することを提案します。 これらの人々のビジネス能力に対する賞賛のみを表明できます。 あなたは、注入されたコードの品質管理なしでそのようなお金のために最大のRunet会社を繁殖させるために掃除機を売ることは老婦人ではないことに同意しなければなりません...