1
• В блоге этичного хакера bobdahacker вышла очень забавная статья, где описана история взлома McDonald’s.
• Всё началось с того, что исследователь обнаружил баг, который позволял сгенерировать неограниченное кол-во баллов и заказать любое кол-во еды через приложение McDonald’s. Достаточно было поправить код и отправить запрос, так как кол-во баллов на стороне сервера не проверялось! Баг исправили через несколько дней, однако bobdahacker обнаружил еще ряд уязвиомстей...
• На одном из сайтов McDonald’s, который используют маркетологи и всевозможные агенства в 120 странах, была возможность зарегистрировать аккаунт заменив в URL слово «login» на «register»: https://admin.me.mcd.com/feel-good-design/register. После регистрации McDonald’s прислал исследователю пароль открытым текстом на указанный почтовый адрес (не ссылку для создания, а сразу пароль).
• Далее bobdahacker обнаружил api ключ в JavaScript-коде портала. Он мог выгрузить список всех пользователей системы, отправлять официальные электронные письма от имени Мака на любые адреса, запустить фишинговую кампанию и т.д. Но самое забавное здесь то, что ребятам из Мака потребовалось целых 3 месяца на исправления всех уязвимостей. Однако это еще не конец.
• В McDonald's есть всевозможные порталы для сотрудников разных уровней. Одним из таких порталов является GPS - это такая панель, которая предназначена для владельцев франшизы. Суть в том, что данный портал не требовал аутентификации для выполнения административных функций. Т.е. любой сотрудник мог внести любые изменения на данном сайте. В качестве демонстрации на главную страницу вывели Шрека и потом вернули все обратно (скриншот выше). Доступ к данному порталу bobdahacker смог получить благодаря своему другу, который работал в Маке и согласился помочь зайти в сервис. Кстати, друга после такой помощи уволили)))
• Помимо этого нашли баг с одноразовыми купонами в клиентском приложении CosMc's (название нового ресторана McDonald’s). Эти купоны должны были быть одноразовыми, но опять же, на стороне сервера такая проверка не осуществлялась. Можно было использовать купон бесконечное кол-во раз.
• Обнаружив значительное кол-во уязвимостей наш герой попытался связаться с кем-либо, кто отвечает за безопасность, но никаких контактов найти не смог. С помощью LinkedIn Боб обнаружил несколько имен сотрудников, которые работают совершенно в другом направлении. Он решил позвонить на горячую линию и попросил переадресовать его на этих сотрудников. Спустя время с ним связались и получили всю необходимую информацию об уязвимостях. На устранение всех багов у McDonald’s ушло 3 месяца...
➡ https://bobdahacker.com/blog/mcdonalds-security-vulnerabilities
#Новости