Место забавных ситуаций в жизни или сертификация у PT

Забавная по сути своей ситуация получилась при работе с Positive Technologies. Согласно требованиям партнерских программ, я проходил необходимые сертификации на их сайте edu.ptsecurity.com и по старой доброй привычке решил просмотреть тела и хедеры запросов, которые отправляются на сайт при переходе по различным ссылкам. Burp Suite всегда отлично помогал в решении такого рода задач, он не подвел и в этот раз =)

Базовый запрос

Базовый запрос

Страница профиля

Страница профиля

По какой-то странной причине ссылка на профиль в основном меню и ссылка на профиль из меню сертификатов имели отличия по параметрам, что привлекло внимание и заставило изучить причины этих различий.

Оказалось, что при переходе через меню сертификатов пользователь получает доступ к своему профилю. Хм, ну вроде ничего в этом страшного и нет, хотя судя по стандартной ссылке на профиль, разработчики не хотели предоставлять такую информацию…

Профиль при переходе через страницу сертификатов

Профиль при переходе через страницу сертификатов

А если они не хотели этого делать, то скорее всего нет и контроля за дальнейшим перемещением! Так и есть, оказались доступны для модификации и ознакомления профили других пользователей обучающей платформы!

Профиль пользователя

Профиль пользователя «Алена»

Различные графы профиля

Различные графы профиля

Доступна в т.ч. информация о самих сотрудниках PT

Доступна в т.ч. информация о самих сотрудниках PT

Ну что ж, осталось дело за малым: не лезть в дебри, модифицировать для доказательства учетную запись не содержащую персональных данных и можно смело сдавать в программу Bug Bounty. Сказано — сделано.

Профиль основного администратора портала

Профиль основного администратора портала

Хотя погодите… не будет ли еще небезопасных ссылок, т. е. такой же ошибки, которая была допущена во вкладке сертификатов. Ладно, надо бы действительно проверить, а то получается какой-то однобокий ресерч, ровно до первого бага.

Ииии…еще одна ссылка! Оказалось, что кнопка назначения заместителя может привести к полному списку пользователей, клиентов и сотрудников Positive Technologies. Так-с, ну здесь нет вариантов, нужно раскручивать ситуацию до конца, любопытство начинает сьедать.

Список всех пользователей портала

Список всех пользователей портала

После нескольких тестов на учетной записи моего коллеги (все с его разрешения) оказалось, что я могу не только править любую его персональную информацию, но и получить доступ ко всем сертификациям, добавить/изменить их срок, результат, даже узнать ответы на вопросы. Тут мое природное желание быть запасливым встало в полный рост — шутка ли, обеспечить на десяток лет себя и коллег спокойным существанием, без необходимости проходить какие-либо курсы, а там уже, кто знает, можно и за конкурентами присмотреть…^_^

Назначение нового заместителя

Назначение нового заместителя

Модификация сертификации

Модификация сертификации

Ответы на вопросы

Ответы на вопросы

Ответы на вопросы

Ответы на вопросы

Волевым усилием недостойные мысли были подавлены и ресерч был продолжен. После получения доступа (через такую же небезопасную ссылку) к структуре компании, людям назначаемым на должности и даже к возможности модификации KPI я довольно улыбнулся, записал видеоряд для представителей компании и с чувством выполненного долга отправил его на официальную программу в Standoff365.

Все должности компании PT

Все должности компании PT

Структура подразделений с указанием конкретных людей, занимающих должности

Структура подразделений с указанием конкретных людей, занимающих должности

Мое скромное увлечение было оценено следующим образом: рейтинг на платформе standoff365 и 50.000 руб.

6c9a3d0a6f28353197b9f2a07db06d3a.png

К сожалению, по неясным причинам платформа в указанном виде перестала существовать 21 мая (через месяц после передачи моих записей). Уверен, что переработанный вариант уже не содержит таких увлекательных квестов. =)

© Habrahabr.ru