Hacker đã lấy được toàn bộ mã nguồn website Vine như thế nào ?

Vine – dịch vụ chia sẻ video ngắn dưới dạng stop- motion của Twitter tồn tại lỗ hổng cho phép hacker tải về toàn bộ mã nguồn website.

Một hacker chuyên tìm lỗ hổng kiếm tiền thưởng người Ấn Độ đã phát hiện một lỗ hổng nằm trong website Vine cho phép ông tải về Docker image chưa toàn bộ mã nguồn của Vine mà không gặp trở ngại nào.

Phát hành từ tháng 7 năm 2014, Docker là một công nghệ mã nguồn mở mới cho phép nhiều nhiều ứng dụng hơn chạy được trên cùng một máy chủ, dễ dàng đóng gói, vận chuyển và chạy các ứng dụng phân tán. Hiện tại, rất nhiều các công ty lớn sử dụng Docker. Tuy nhiên, Docker image sử dụng bởi Vine lại bị công khai ra bên ngoài.

Docker images: là một “read-only template”. Chẳng hạn, một image chứa hệ điều hành Ubuntu đã cài đặt sẵn Apache và ứng dụng web.

Khi tìm kiếm lỗ hổng trongVine, hacker Aninash sử dụng Censys.io – một máy tìm kiếm mới dành cho hacker tương tự Shodan – định kì quét toàn bộ Internet để tìm ra các thiết bị chứa lỗ hổng. Sử dụng Censys, Avinash đã tìm thấy hơn 80 Docker image, cụ thể ông đã tải về được một image có tên ‘vinewww’ (theo quy ước đặt tên thì image này nằm ở thư mục www – thư mục thường sử dụng cho website trên máy chủ web)

Khi truy cập thông qua trình duyệt, hacker nhận được phản hồi /* private docker registry */ tức là image này là bí mật.

Nhưng nó lại có thể được truy cập công khai tại đây. Đó là nhờ cơ chế cho phép nhà phát triển lưu trữ và chia sẻ image thông qua web của Docker. Sau khi tìm kiếm sâu hơn hacker đã tải được về image vinewww và chạy trên máy ảo của mình.

Trong image này chứa toàn bộ mã nguồn của Vine, khóa API bí mật của hãng cũng như của bên thứ ba. Thậm chí image có thể được chạy mà không cần thêm tham số gì, cho phép tạo một bản sao cục bộ của VINE trên máy hacker.

Aninash đã báo cáo lỗ hổng cùng bản chứng minh đến Twitter vào 31/3. Công ty ngay sau đó xử lý lỗ hổng trong vòng 5 phút và trao 10,080 đô la cho Aninash. Aninash là một thợ săn lỗ hổng hoạt động năng nổ từ năm 2015 và đã báo cáo 19 lỗ hổng đến Twitter.

THN