باحث أمني يكتشف ثغرة خطيرة في موقع مطوّري توتير
الكاتب: بشار | يوم: 30 أكتوبر, 2013 | التعليقات: 9 | القراءات: - عدد المشاهدات 27٬107
ابراهيم حجازي، شاب عربي يعمل باحثاً أمنياً في في مجال إكتشاف ثغرات برمجيات المواقع Web Applications. حجازي اكتشف العديد من الثغرات الخطيرة في مواقع شركات كبيرة مثل مايكروسوفت وغوغل و فيسبوك وآخر اكتشافاته ثغرة خطيرة في موقع توتير للمطورين.
شركة توتير كمكافأة منها للباحث الشاب قامت بنشر اسمه ضمن قائمة الشرف الخاص بأمن الموقع (https://twitter.com/about/security)
تفاصيل الثغرة
الثغرة التي تم اكتشفها تسمح للمهاجم برفع ملفات تشغيلية من نوع PHP (احدى اللغات المستخدمة في تطوير مواقع الانترنت) أو ملفات من نوع .txt وامتدادات اخري كذلك،
وهو ما يتيح للمهاجم في العديد من الحالات التحكم بالخادم الذي يشغل الموقع او إستخدامه في إختراق مستخدميه.
كما يمكن للمهاجمين رفع ملفات .txt تحمل أوامر معينة .. ويستخدمون تلك الاوامر في توجيه الأجهزة المخترقه من خلالهم فيقوم الجهاز المخترق بزيارة الصفحة المرفوعه علي تويتر من قبل المهاجم وياخذ الاوامر ويقوم بتنفيذها .. وبما ان موقع تويتر هو موقع لا يثير الشكوك مطلقا لانه موقوع موثوق .. فلن يثير ذلك شكوك المستخدمين او من يقومون بتحليل البرمجيات الضارة.
موقع توتير للمطورين يتيح لهم رفع ايقونة للتطبيقات التي يقومون بتطويرها للعمل مع موقع توتير. ومع أن الموقع يقوم بفحص الملفات المرفوعة ويحصرها في ثلاثة انواع وهي PNG، GIF و JPEG وهي انواع ملفات خاصة بالصور، إلا أنّ حجازي تمكن من تجاوز آليات الفحص ورفع ملف PHP
الفيديو الاتي يظهر الثغرة وكيف عثر عليها الباحث الامني
الفيديو التالي يظهر الاستغلال
التبليغ عن الثغرة
قام الباحث الامني بالتواصل مع توتير للابلاغهم بوجود الثغرة والعمل على ترقيعها قبل نشرها التفاصيل. هذه الخطوة هامة جدا لانها تظهر ان الباحث يهتم بأمن المستخدمين وليس فقط الشهرة، وهذا ما نحترمه جدا في مجتمع الحماية العربي ونحث الباحثين الامنيين العرب على القيام به.
نتقدم للاخ ابراهيم حجازي بالتهنئة على هذا الانجاز الرائع والذي يضاف الى قائمة طويلة من انجازات هذا الباحث الشاب.
بشار ماجستير نظم معلومات. مهندس أنظمة يمتلك خبرة في إدارة أنظمة ويندوز ولينكس. باحث ومختصص في مجال أنظمة المعلومات، معالجة الحوادث الأمنيّة، تحليل الإختراقات الأمنيّة، وفحصوصات الاختراق. حاصل على العديد من الشهادات الأمنيّة. عضو في مجلس استشاريّي معهد سانز لأمن المعلومات.
التعليقات:
اترك تعليقاً | عدد التعليقات: (9)
جاري التحميل ...
الحين الثغرة فقط إنك بدال ماتكتب php كتب php2 ؟؟؟
باللهي هذي ثغرة ولا ضربت حظ!
هل فهمت الثغرة؟ لماذا في اعتقادك اعترفت توتير بالثغرة ووضعت ابراهيم على قائمة الشرف الخاصة بها؟
لا أدري لماذا هذا التقليل من شأن الآخرين خصوصاً أن الأخ ابراهيم حجازي باحث أمني معروف عالميا وليس محليا فقط. فهلا تكرمت وذكرت لنا انجازاتك التي تتجاوز ضربة حظ؟
السلام عليكم .. صاحب أول تعليق .
في الغالب أتفادي النقاشات التي تحمل طابع السخرية لكن دعني اوضح الأمر بشكل أفضل ربما لم يفهمه غيرك كما لم تفهمه انت.
الصفحه الخاصة برفع الصور داخل صفحة ال Applications والتي تم شرح الفيديو عليها .. الصفحه تسمح برفع ملفات الصور فقط لا غير.
الملفات التي تقوم برفعها تقوم الصفحه بالتحقق هل الملف المرفوع ملف صورة فقط ام انه ملف اخر؟ اذا ملف اخر تقوم بحجبه ولا يتم رفعه .. اما اذا ملف صورة فيتم رفعه بدون مشكلة.
الخدعه ان الصفحه تقوم بالتحقق علي ال client side وليس علي server side لذا يمكنك رفع الملف في البداية بامتداد صورة لاقناع السرفر انها صورة من الامتدادات المسموحه ثم تقوم باعتراض ال request من خلال اي proxy وتقوم بإعادة تسمية الملف المرفوع مرة اخري الي أي امتداد تريده.
اما بخصوص php و php2 فهذا واضح في الفيديو ومكتوب أيضا!!
في البداية قمت برفع الملف بامتداد php وتم رفع الملف فعلا لكن الصفحه تقول ان عرض الملف ربما يتاخر دقيقه .. لذلك جربت رفع الملف بطريقه اخري مثل php2 فهو يعرض المحتوي كأنه txt ,, ولكن الملف الاول كان قد تم عرضه فعليا وهو .php فقط
هذا كل ما في الأمر .. وليتك بعد ذلك تحترم اساليب النقاش واذا مش فاهم قول مش فاهم ولن نتأخر في مساعدة أحد.
الثغرة واضحه جدا ولا تحتاج الى شرح
ولا يوجد اي مبرر لماذا تم رفع الملف بامتداد php2 بدلا عن php
اجل ربما يتاخر دقيقه
نطالب بتوضيح اكثر لماذا تم عرض الملف في حين تغير امتداده وانا لم اسخر منك ولا من اي شخص اخر
ومبروك عالاكتشاف
السلام عليكم,اريد ان اكون باحثاً أمنياً في في مجال إكتشاف ثغرات,من اين ابدأ؟
السلام عليكم
اعتقد ان يقصد اي مخالفة لنمط الامتداد بمعنى ان الموقع يعرف الامتدادات مثل
.php
.exe
الخ
فهو فق وضع نمط مخالف لكي يعرف ال bug
او الثغرة فمثلا .php
ممكن ان تضع اي رقم او حرف مثلا php.تضيف رقم او حرف ايا يكن
2 او 3 او 1
اتمنى وضحت الشرح اكثر
وان كان خطأ فاتمنى التوضيح
ومبروك اكتشاف الثغرة
شكرا
ابراهيم ده شخص مجتهد جداً ويستحقها بصراحه
وياريت والله كلنا نحاول نقلده ونبدع فى مجالنا يا شباب وناخده مثال لينا كلنا
على أن الشباب العربى مش جاهل ولكنه قدر يكتشف ثغره قاتله فى نظام تويتر
مين كان يصدق فينا ان فى ثغره File upload فى تويتر . طبعا محدش يصدقها لكن هو صدقها 🙂
السلام عليكم أخي إبراهيم لقد سمعت عن الكثير و جزاك الله خيرا أريد أن أسألك كيف لي أن أتعلم و أبد في مجال الأمن المعلوماتي و ما هي الأشياء التي يجب تعلمها من الصفر الإحتراف أرجو أن تشرح لي بالتفصيل و حقيقة أريد أن أكون مثلك بماذا تنصحني و كيف أصبح مبرمجا محترفا و ما هي المواقع او الكتب الجيدة التي تعلم البرمجة و الخوارزميات و ما هي لغات البرمجة التي يجب تعلمها و شكرا.
صراحه مبدع ي Zig0 ..
مع ان كان يمديك تسوي هوائل
من خلال الثغرة لاكن تفكيرك جميل جدا
تحياتي لك