Niebezpiecznik

Prezentacje z konferencji BlackHat były na żywo transmitowane w sieci. Streaming kosztował 395 dolarów. Jedna osoba, pracownik Mozilli, miał go za darmo :-)

Hacking Black Hat

Michael Coates nie był w stanie dotrzeć na tegorocznego BlackHata, więc pomyślał, że “poogląda” konferencje w sieci, monitorując blogi, twittery i inne relacje. Zauważył jednak, że w tym roku Black Hat udostępnia streaming prelekcji (“Black Hat Uplink“).

Tak wyglądał streaming z BlackHat 2010

Podczas rejestracji w systemie streamującym Coates stworzył konto podając tylko adres e-mail (czyżby walidacja danych tylko via js w formularzu?). Nie w pełni “zarejestrowane” konto dawało brak prośby o wprowadzenie numeru karty kredytowej (pożądane) ale i brak URL-a ze stroną logowania do systemu (niepożądane). Michaelowi udało się wygooglać stronę i o dzwio, jego “upośledzone” konto pozwoliło mu się zalogować i uzyskać dostęp do feedów video.

Black Hat video

Warto podkreślić, że to nie “hackerzy” z Black Hata zarządzali streamingiem, ale zewnętrzna firma. Mimo wszystko Michael zdecydował się na zgłoszenie błędu w trybie responsible disclosure a nie full disclosure, jak wielu BlackHatowych prelegentów ;) Po 4 godzinach błąd został załatany.

Barnaby hackuje bankomaty - pisaliśmy o jego prelekcji tutaj

Niektórzy żartują, że powyższy incydent to dowód na to, że sytuacja się odwróciła; nie tylko uczestnicy konferencji BlackHat mogą hackować aplikacje, ale również i aplikacje mogą hackować BlackHatów ;-)

P.S. Aha, wszystkie prezentacje z konferencji można już pobrać. Lista tutaj.

O sprawie poinformował nas Andrzej L.

Aktualizacja 22:03
Okazuje się, że strona WWW BlackHatowców też zawierała błędy bezpieczeństwa (XSS, OpenRedirect i HTML injection):

Przeczytaj także:

• * Materiały z BlackHat 2014
• Ze strachu zapłacili 200 000 dolarów za odpowiedź na pytanie “czy ten laptop jest zhackowany?”
• American Express i duża wtopa programistów