0
Bestand Foto
Google heeft toegekend van $10.000 om een student van de middelbare school voor de ontdekking van een bug in de Google App Engine server die kunnen leiden tot het vrijgeven van informatie.
Deze week, Ezequiel Pereira zei in een blog post die hij ging bug jacht op 11 juli simpelweg te wijten aan de verveling, en na een aantal mislukte pogingen, struikelde over een manier om de Host-Header in verzoeken om de App Engine server zonder authenticatie.
De meerderheid van zijn pogingen om het wijzigen van de header — in om toegang te krijgen tot interne apps zoals *.googleplex.com dat vereist meestal gaat via de Google MOMA login-pagina te verifiëren — mislukt en terug 404 Niet Gevonden fouten of veiligheid obstakels.
Echter, na het gebruik van de testen van de beveiliging Burp suite, de student kwam een website, kon een niet-geverifieerde toegang, yaqs.googleplex.com.
De web server niet controleren Pereira de geloofsbrieven en doorgestuurd hem te “/dut,” die, op zijn beurt, blootgesteld links naar verschillende onderdelen van Google-Diensten en-infrastructuur, met inbegrip van een opmerking in de voettekst genaamd “Google Vertrouwelijk.”
Dit was bewijs genoeg, en dan rondneuzen verder, de student dan “, meldde de kwestie meteen” met proof-of-concept (PoC) bewijs.
De PoC verzonden naar Google wordt hieronder op basis van de Burp suite:
Ga naar de Repeater tabSet de doel host “www.appspot.com” de doel poort “443” en vink “Use HTTPS” optionWrite deze ruwe HTTP-verzoek (Inclusief de laatste twee lege regels):VOOR /eng HTTP/1.1 Host: yaqs.googleplex.comClick “Go”van een Aanval: Iedereen heeft toegang tot een interne website van Google genoemd YAQS dat zegt “Google Vertrouwelijk” in de footer.
Een paar uur later, Google security team reageerde.
“Ik dacht bij mezelf: “Cool, dit is waarschijnlijk een klein ding dat niet waard om een dubbeltje, de website waarschijnlijk had wat technische dingen over de servers van Google en niets echt belangrijk,” de student toegelicht. “Ik weet niet wat de website bevatten[ed], maar enkele weken later kreeg ik een e-mail direct na het krijgen van de school die zei dat mijn rapport was veel meer waard dan een dubbeltje.”
Enkele weken later, Google ‘s team had gesorteerd en het probleem opgelost, dat was echt de moeite waard om een bug bounty beloning van $10.000 als het team weten te vinden varianten van het probleem dat zou hebben toegestaan dat een aanvaller om toegang te krijgen tot gevoelige gegevens op basis van Pereira’ s rapport.
Bij gelegenheid, insecten, zoals dit nog steeds kan worden gevonden, maar in het algemeen, Google heeft gestoten betalingen voor hoge belangrijkheid door de tech reus bug bounty ‘ programma. Tot uitvoering van externe code (RCE) kan nu verdienen onderzoekers meer dan $30.000 per melden als ze worden steeds schaarser en moeilijker te vinden.
Verwante dekking
Google komt met Project Zero bug hunting concurrentie van Google: We wandelen bug premies omdat het vinden van beveiligingslekken wordt steeds moeilijker Google handen meer dan $3m in de bug gaven als uitbetalingen stijgen voor nieuwe Android gebreken
Meer nieuws over beveiliging
Trump administratie vraagt gegevens op meer dan een miljoen bezoekers naar de anti-Trump site
Hoe een one-man-hacking bediening was in staat om te infiltreren internationale bedrijven
De beste mobiele Vpn ‘ s kunnen ervoor zorgen dat uw privacy-overal
Die ‘stingray’ detector apps zijn eigenlijk nutteloos, zeggen onderzoekers
0