😈 Как взломать миллионы модемов: история одного расследования

Два года назад во время работы в домашней сети со мной произошло нечто очень странное. Я эксплуатировал слепую уязвимость XXE, которая требовала внешнего HTTP-сервера для переправки файлов, поэтому я развернул простой веб-сервер Python на платформе AWS для получения трафика от уязвимого сервера...

— Под катом история, направленная на то, чтобы подчеркнуть уязвимости на уровне доверия между интернет‑провайдером и клиентскими устройствами, но модем мог быть скомпрометирован каким‑то другим, гораздо более скучным методом.

🗣 Ссылка на чтиво

#TI #HTTP #API | 🧑‍💻 Этичный хакер

😈 Хакер-одиночка раскрыл тысячи секретов крупнейших компаний мира

19-летний Билл Демиркапи, независимый исследователь и белый хакер, разработал метод, позволяющий выявлять масштабные уязвимости в интернете с помощью нестандартных источников данных.

Результаты работы были представлены на конференции Defcon в Лас-Вегасе. Среди как минимум 15 000 найденных секретов (под «секретами» понимаются конфиденциальные данные, такие как пароли, ключи API, токены аутентификации) оказались сотни учетных записей, связанных с Верховным судом Небраски и его IT-системами, а также данные доступа к каналам Slack Стэнфордского университета.

❗️ Особое внимание привлекли более тысячи ключей API, принадлежащих клиентам OpenAI.

Второе направление исследований касалось уязвимостей веб-сайтов. Хакер обнаружил 66 000 сайтов с уязвимостями в неиспользуемых («висячих») поддоменах. Среди затронутых оказались некоторые из крупнейших веб-ресурсов мира, в том числе тестовый домен, принадлежащий The New York Times.

😂 Демиркапи провел эксперимент, он опубликовал на тестовом домене The New York Times сатирическую статью с провокационным заголовком «США объявляют войну России на фоне эскалации напряженности, посылая шоковые волны через международное сообщество».

#News #Defcon #Leaks #API | 🧑‍💻 Этичный хакер