كيف تهكر جوجل؟ ؟؟؟🤔🤔
 تعلمناه من (قانونيًا) اختراق Google و Slack و Facebook

هناك قول مأثور: هناك نوعان من الشركات ؛ تلك التي تم اختراقها ، وتلك التي تعتقد أنها لم يتم اختراق . سواء أعجبك ذلك أو لم يعجبك ، يتم كسر الإنترنت من وجهة نظر أمنية ، وهذا هو السبب في أنه من الأهمية بمكان بالنسبة لك معرفة مدى ضعف عملك ، وإيجاد أفضل طريقة لحماية عملائك.

لقد أدركت بعض الشركات بالفعل القيمة التجارية للأمن ، مما جعلها عادةً داخلياً ، وجعلتها جزءًا أساسيًا من تجربة العملاء. تمسك الشركات الأخرى بالمفاهيم الخاطئة الشائعة حول أمان الويب ، مثل أنا آمن لأن لا أحد يريد اختراقنا أو نحن آمنون لأن وكالة الويب لدينا تتولى تطوير موقعنا.

التحقق من الواقع - أكثر من 92٪ من الشركات التي أجرينا اختبارات الأمان عليها ضعيفة. وإذا كانت شركات مثل Facebook و Paypal و Google وما إلى ذلك معرضة للخطر - لماذا لا تكون؟ هناك الكثير لنتعلمه من الاختراقات التي أجريناها قانونيًا على العديد من عمالقة التكنولوجيا وردود أفعالهم على تقارير الضعف المقدمة.

جوجل - الاستفادة من مجتمع القراصنة البيضاء

ما فعلناه : قبل عامين ، تمكن اثنان من مؤسسي Detectify ، وهما Fredrik Almroth و Mathias Karlsson ، من الحصول على حق الوصول للقراءة على خوادم إنتاج Google عن طريق تحميل XML ضار على أحد خوادم الشركة. تحولت فيما بعد إلى عيب كبير في XXE (بالنسبة إلى أي قارئ غير تقني ، فأنت تفهم أن هذا أمر سيء للغاية). دفعت Google لأعضاء فريقنا مكافأة قدرها 10.000 دولار أمريكي على شكل شكر ، لتغطية رحلة أعضاء فريقنا البرية عبر أوروبا في نفس الصيف.

ما تحتاج إلى تعلمه : كان Google مبكراً لإدراك أن القيام بكل شيء بنفسك مستحيل. قاموا بإعداد برنامج الكشف المسؤول الذي سمح للمتسللين الأخلاقيين بالبحث عن الثغرات الأمنية نيابة عنهم والإبلاغ عنها والحصول على بعض المال لكل ثغرة أمنية تم الإبلاغ عنها . جذبت هذا المفهوم العديد من الباحثين في مجال الأمن المستقل ، وقد أدى هذا الأمر على مر السنين إلى عدد كبير من المشكلات الأمنية التي تم حلها.

إذا اخترت تنفيذ هذا بنفسك ، فليست هناك حاجة مبدئيًا لتقديم أي تعويض نقدي عن كل تقرير مقدم. تتمثل الخطوة الأولى في نشر طريقة يمكن للباحثين في مجال الأمن الاتصال بك (مثل بريد إلكتروني للأمان مثل security@example.com ) وإظهار التقدير عندما يبلغ شخص ما عن ثغرة أمنية. لزيادة الحافز للمساعدة ، فكر في نشر قائمة بأسماء كل من ساهم باسم "قاعة مشاهير الأمان" .

سلاك - تشغيل مكافأة الأخطاء وإصلاح المشكلات الحرجة على الفور ، حتى يوم الجمعة

ما فعلناه : تمكن فرانس روسين ، أحد الباحثين الأمنيين في Detectify ، من إنشاء صفحة ضارة يمكن أن تعيد ربط المستخدمين Slack WebSocket إلى WebSocket الخاص به من أجل سرقة رموز Slack الخاصة بهم. تسمح مشكلة عدم الحصانة للمتسللين ذوي القبعة السوداء بتولي حسابات سلاك وقراءة الأرشيفات. حدد سلاك الخطأ في 5 ساعات يوم الجمعة ودفع 3000 دولار فرنسي كمكافأة. محرج!

ما تحتاج إلى تعلمه : كان الجدول الزمني للثغرة الأمنية المقدمة مثالًا مثاليًا على العمل الأمني ​​وتم تنفيذ العلاقات العامة بشكل صحيح. الضعف الحرج لا يؤدي حتما إلى كارثة العلاقات العامة. من خلال العمل بسرعة على التقرير ، تمكن فريق Slack من تحويل الحادث إلى شيء إيجابي وتم الإشادة بعملهم الأمني في وسائل الإعلام . كان رد فعلهم السريع ، على الرغم من اقتراب نهاية الأسبوع ، مثاليًا ومتوافقًا مع الطريقة التي يعمل بها مجتمع القبعة السوداء - فالأمن لا يظل ثابتًا خلال عطلات نهاية الأسبوع ...

والوجبات الأخرى ، التي ذكرها سيسكو جيف بيلكناب من سلاك بوضوح على تويتر ، هي إدارة مكافأة ، واستخدام مهارات أفضل الباحثين في العالم لتأمين منتجك.
Facebook - انتبه إلى البائعين الخارجيين والخدمات المتصلة

ما فعلناه : الضربات الفرنسية مرة أخرى! هذه المرة ، وجد XSS مخزّنًا على Facebook ، مبدئيًا من خلال مزامنة Dropbox ، وبعد ذلك من خلال التوسع مع خدمات أخرى مثل Pinterest. باستخدام الملفات الموجودة في Dropbox ، تمكن من حقن رمز البرنامج النصي الذي تم تنفيذه على Facebook.com. تم حل مشكلة عدم الحصانة في وقت لاحق ، بطبيعة الحال ، وتم دفع مبلغ قدره 3500 دولار إلى Frans.

ما تحتاج إلى تعلمه : كان Frans يعمل في البداية على اكتشاف عيوب في Dropbox عندما عثر على مشكلة عدم الحصانة المرتبطة بفيسبوك. هذا هو عادة كيف تعمل المتسللين. وهي تمر من خلال ملحقات وإضافات الطرف الثالث المستخدمة والخدمات المتصلة بموقعك. قد يكون موقع الويب الأساسي الخاص بك آمنًا ، ولكن نادراً ما تقوم الشركات بإجراء فحوصات أمنية على بائعي الطرف الثالث ، وعمليات الدمج والخدمة المرتبطة.

من يقف وراء كل هذا ، قد تسأل؟

بدء تشغيل أمان تكنولوجيا معلومات سويدي Detectify ، تم تأسيسه في عام 2013 من قبل مجموعة من المتسللين ذوي القمم البيضاء. Detectify جزء من مجتمع القرصنة الأخلاقي ، واليوم ، يستخدمون معرفة أكثر من 100 قراصنة مختارين يدويًا من جميع أنحاء العالم للحفاظ على أمان مستخدميهم.