Làm thế nào để hack được hệ thống tracking bug của Google để đổi lấy $15,600 tiền thưởng

Nỗ lực #2: Nhận thông báo về các tickets nội bộ

Một tính năng khác của Issue Tracker thu hút sự chú ý của tôi khi đang làm quen với UI là khả năng đánh sao các items. Đánh giá 1 issue đồng nghĩa là bạn đang quan tâm đến vấn đề đang được thảo luận và bạn muốn nhận email notifications khi ai đó comment.

Tính năng đặc biệt thiếu đi các lỗi khi cố gắng sử dụng tính năng này trên các vấn đề mà tôi đã không thể tiếp cận được. Các quy tắc kiểm soát quyền truy cập dường như không bao giờ được áp dụng cho endpoint này, nên tôi đã đăng nhập vào account thứ 2 của mình và cố gắng đánh dấu sao lên 1 báo cáo lổ hổng từ account chính bằng cách thay thế Issue ID trong request. Sau đó, tôi thấy message này, đồng nghĩa là action của mình đã thành công.

1 person has starred this issue.

Có phải rất dễ dàng để do thám các lổ hỗng mở của Google không? Tôi nhanh chóng dăng 1 comment vào vấn đề để xác định xem thử liệu tài khoản tấn công hư cấu của mình có được thông báo không.

Nhưng 1 lần nữa, không có email nào hiện lên hết.

Vì vài lý do nào đó không nhớ rõ nữa, tôi đã quyết định thực hiện vài testing khác. Vì vậy, tôi đã có 1 issue ID mới, và ngoại suy hàng ngàn IDs trùng khớp với các issues mới nhất trong database. Sau đó tôi đánh sao hết tất cả.

Trong vòng vài phút, inbox của tôi trở thành như này:

Khi xem xét kĩ hơn, thực ra không có gì quá thú vị diễn ra trong những threads đó. Rõ ràng là tôi chỉ có thể “rình” được những đoạn trò chuyện liên quan đến dịch thuật, nơi mà mọi người sẽ tranh luận những cách truyền tải ý nghĩa của 1 câu nói theo nhiều ngôn ngữ khác nhau 1 cách tốt nhất.

Tôi thậm chí còn cân nhắc không report lỗi này, hy vọng sẽ tìm được cách để tăng mức độ nghiêm trọng lên. Cuối cùng tôi nhận ra team bảo mật của Google có thể sẽ hứng thú với việc tìm ra các methods & biến số then chốt có thể xảy ra nên là tôi cứ gửi thông tin chi tiết.

Accepted: 5 hours | Bounty: $5,000 | Priority: P0

Nỗ lực #3: Game over

Khi bạn xem xét Issue Tracker trên vai trò là 1 user bên ngoài, hầu hết tính năng của nó đã bị loại đi, nên bạn sẽ bị giới hạn nhiều quyền lợi. Nếu muốn thấy được những điều thú vị mà các nhân viên Google có thể làm được, bạn có thể tìm các API endpoints trong các files Javascript. Một vài function bị vô hiệu hoàn toàn, trong khi 1 số khác bị dấu trong interface.

Khi thiết kế bản giới hạn của hệ thống, 1 ai đó tốt bụng sẽ để lại trong 1 method để chúng ta remove bản thân khỏi danh sách CCs, trong trường hợp chúng ta không còn hứng thú với 1 issue hoặc không muốn nhận emails về nó nữa. Có thể làm được điều này bằng cách gửi 1 request POST như thế này:

POST /action/issues/bulk_edit HTTP/1.1

{
   "issueIds":[
      67111111,
      67111112
   ],
   "actions":[
      {
         "fieldName":"ccs",
         "value":"test@example.com",
         "actionType":"REMOVE"
      }
   ]
}

Tuy nhiên, tôi nhận ra vài chuyện vô ý dẫn đến 1 vấn đề lớn:

1. Quyền tiếp cận không phù hợp: Không có quy trình kiểm tra rõ ràng khi user hiện tại thực sự tiếp cận được vào các vấn đề chuyên biệt trong issueIds trước khi nỗ lực thực hiện action được cho trước.
2. Thất bại lặng im: Nếu bạn cung cấp 1 địa chỉ email không có trong danh sách CCs, endpoint sẽ trả lại 1 message nói rằng email đã được remove thành công.
3. Chi tiết vấn đề trong response: Nếu không có lỗi xảy ra trong quá trình action, 1 phần khác của system sẽ giả định rằng user đã có quyền lợi phù hợp. Vì vậy, chi tiết về vấn đề ID sẽ được trả lại trong HTTP response body.

Hiện tôi có thể xem thông tin chi tiết về mọi vấn đề trong database bằng cách thay thế issueIds trong request ở trên. Chính xác!

Tôi chỉ cố gắng xem 1 vài IDs liên tiếp, sau đó tự tấn công chính mình từ 1 account không liên quan để xác nhận mức độ nghiêm trọng của vấn đề này.

Đúng vậy, tôi có thể xem hết chi tiết các báo cáo lổ hỗng, kèm theo tất cả những thứ khác được host trên Buganizer.

Tệ hơn là, tôi có thể xâm nhập dữ liệu về rất nhiều tickets trong 1 request đơn, vì thế việc điều chỉnh tất cả các hoạt động nội bộ theo thời gian thực có lẽ đã không kích hoạt bất kì rate limiters nào.

Tôi đã nhanh chóng gửi chi tiết những gì mình khai thác được đến Google và đội ngũ bảo mật của họ đã phải vô hiệu endpoint bị ảnh hưởng 1 giờ sau đó. Response time thật ấn tượng!

Accepted: 1 hour | Bounty: $7,500 | Priority: P0