افشای داده های حساس 2 میلیون کاربر Web3

افشای داده های حساس 2 میلیون کاربر Web3

اگر فکر می کنید کد دعوت یا کد ارجاع بلا استفاده است، پس باید این مطلب را بخوانید:

سلام دوستان هانتر، امیدوارم حالتان خوب باشد. به باگ پیدا کردنتان ادامه دهید، یا حداقل اگر قادر به یافتن باگ نیستید، دست از تلاش برندارید. در این رایت آپ، در مورد باگی که اخیراً آن را پیدا کرده ام صحبت خواهیم کرد.

داستان از این قرار است که یک آسیب پذیری جدید در API متعلق به یک وب سایت تجارت کریپتوی محبوب (که از آن تحت عنوان webtarget.com یاد خواهیم کرد)، یافت شد. این آسیب پذیری منجر به افشای غیرمجاز اطلاعات حساس کاربران وب سایت، از جمله حجم صندوق کاربران، آدرس حساب کاربری خصوصی، کلیدها، نام های کاربری، آدرس های ایمیل، شماره تلفن ها، ID های کاربران، ID های سریال، آواتارهای خصوصی و کدهای کشور گردید. همۀ این اطلاعات به دلیل عدم پیکربندی صحیح API افشا شد.

روش کار به این طریق بود که من وقتی شروع به شکار آسیب پذیری در این برنامه کردم، همۀ عملکردهای سیستم را بررسی نموده و متوجه شدم همه چیز توسط توکن های سشن و فیلترها محافظت شده است.

پس از تحقیق و بررسی بسیار، تصمیم گرفتم ویژگی دعوت موجود در وب سایت را بررسی نمایم. از این رو، یک حساب کاربری ساخته، کد دعوتم را کپی کرده و در مرورگر دیگری آن را پیست کردم که این امر من را به صفحۀ ثبت نام با این کد هدایت نمود. در این صفحه من تمامی جزئیات و اطلاعات لازم را پر کرده و درخواست مربوطه را در ابزار Burp بررسی کردم.

هنگامی که این درخواست را به طور دقیق بررسی کرده و تمامی درخواست های موجود در بخش Burp history را مشاهده نمودم، این URL را پیدا کردم:https://api.web3target.com/common/v2/user/getInviteUser?inviteCode=333333 پس از باز کردن این URL، مشخص شد این API به شکلی صحیح پیکربندی نشده و تمامی اطلاعات کاربر به صورت عمومی از این طریق افشا می گردد.

در ادامه، کد دعوت را به صورت inviteCode=8uy568979 که از قبل نیز در Wayback ایندکس شده بود تغییر دادم، و بوووم، دیتای کاربر دیگری بر روی صفحه نمایان شد. بنابراین، از این طریق هر شخصی قادر بود بدون هیچ گونه احراز هویت به کل دیتای کاربر هدف دسترسی یابد.

اهمیت این آسیب پذیری به این دلیل بیشتر شد که web3target.com، کد دعوت را به صورت عمومی ایندکس می کرد. به این ترتیب تمامی اطلاعات مربوط به بیش از 2 میلیون کاربر که برایشان در این سامانه کد دعوت تعریف شده بود، به راحتی توسط افراد مختلف قابل دسترس بود.

این آسیب پذیری به عنوان بحرانی دسته بندی شده و $$$$ دلار بانتی به آن تعلق گرفت.

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *