Những cuộc pentest âm thầm.

Tôi thường online trong các group của những bạn cùng chung chí hướng, đam mê bảo mật, thích hacking, thích phá phách và thích show off, cũng không ít lần tôi gặp những comment đại loại như:
"trẻ trâu, trò mèo, bug cái lolz gì,... ngon hack site tao đi, server tao nè hack dùm cái đi, bla bla bla,...".Với những trường hợp như vầy thường thì tôi bỏ qua không quan tâm vì đôi khi họ quá tự tin, hay chỉ vì một chút bốc đồng rồi nói thế, cũng có người có chút ít kiến thức và lên mặt, mọi thứ đều không đáng để tâm.Nhưng ai đó lặp lại vài lần lời thách thức thì tôi cũng có chút lưu ý, note lại và lúc rảnh rỗi tôi sẽ "liếc qua" chút xíu.

Thường thì theo kinh nghiệm của tôi đa số những người nói câu đó đều "nguy hiểm" và hệ thống của họ thường lại mắc những lỗi vô cùng phổ biến và có độ nguy hiểm rất cao, vì những sysadmin hay chuyên gia bảo mật họ rất điềm đạm, không khoe mẽ và chăm chút cho hệ thông họ quản lý hàng ngày. Đơn cử khoảng đầu và trung tuần tháng 8/2016 tôi có gặp hai hệ thống dạng đó.Họ rất tự tin về hệ thống mà họ xây dựng từ code đến server và đây là những lỗi mà tôi đã pentest rồi phát hiện và thực hiện chiếm quyền lên mức cao nhất có thể.

I. Hệ thống thứ nhất: Đây là một công ty dạy bảo mật và dưới đây là những lỗ hổng mà họ mắc phải:
- Hệ thống sài mã nguồn wordpress với nhiều trang web đã từ lâu không update core, plugin, và theme.
- Nhiều trang web tồn tại những lỗ hổng nguy hiểm cao, SQLi, RCE, LFI...
- Sài chung mật khẩu cho các tài khoản ở nhiều nơi.
- Sử dụng mật khẩu với độ phức tạp không cao, dễ đoán.
- Gần như không áp dụng biện pháp bảo vệ nào để bảo vệ hệ thống khi họ là những người đi dạy bảo mật cho người khác.

Kết luận I: Với hệ thống thứ nhất này, tôi tốn khoảng gần hai giờ đồng hồ từ khi bắt đầu thu thập thông tin và pentest với những lỗ hổng và thông tin có được ở trên thì tôi đã nắm được gần như hết những gì mà công ty đó đang triển khai và sử dụng gồm bao gồm cả những thông tin như
tài khoản login các trang web, email, thông tin để quản lý domain, host,...Cuối cùng kết thúc quá trình kiểm thử tôi gởi toàn bộ thông tin và quá trình tôi đã kiểm thử qua cho người đang quản lý hệ thống đó, rất may mắn là họ chú trọng và hồi âm rất sớm đồng thời tiến hành vá những lỗ hổng mà tôi đã cung cấp cho họ.

II. Hệ thống thứ hai: Đây là một lập trình viên, cũng có nhiều thành quả với nhiều website và hệ thống đang quản lý.
- Hệ thống sài mã nguồn tự code nên có những lỗ hổng khá phổ biến như XSS, SQLi, FPD.
- Lỗ hổng thiếu ràng buộc khi kiểm tra và sàng lọc file trước khi upload lên hệ thống (tôi dùng để bypass để tải lên thành công mã độc).
- Như một thói quen admin hệ thống này sài chung mật khẩu cho tất cả các site.
- Sử dụng mật khẩu quá phổ biến và dễ đoán (a123456, 123456), khá bất ngờ khi phát hiện điều này.
- Sử dụng các script hỗ trợ cài đặt, tùy chỉnh và quản lý server phổ biến VPSSIM với nhiều điểm hở mà tôi đã có bài viết trên blog.

Kết luận II: Khác với hệ thống thứ nhất thì ở hệ thống thứ hai này tôi đối mặt với toàn bộ mã nguồn và hệ thống đều do một người xây dựng và quản lý, dẫu nghĩ rằng sẽ gặp khó khăn nhưng với những lỗi mắc phải cơ bản ở trên nên tôi đã rút ngắn được quá trình kiểm thử và có được những thông tin cao nhất mà họ có.Vẫn như một thói quen, tôi inbox gởi thông tin lỗi và gợi ý cách fix, lần này tôi tiếp tục gặp may mắn khi người quản trị hồi âm và trao đổi với tôi.

Lời kết: Dù bạn là ai, hãy sống trầm lặng và khiêm nhường thêm chút nữa vì đôi khi sự may mắn không mỉm cười với bạn và hệ thống các bạn sẽ gặp nhiều tổn hại, ảnh hưởng đến kinh tế và uy tín lúc đó rất khó khăn cho bạn.

Concobe