Изображение сгенерировано нейросетью Midjourney и дополнено автором статьи
Изображение сгенерировано нейросетью Midjourney и дополнено автором статьи

Я попросил нейросеть ChatGPT, которую уже прозвали революционной из-за широкого кругозора и способности давать точные ответы на любые запросы — от сочинения музыки до написания программного кода, представить, что она создала сайт и забыла удалить из корневой папки файлы, которые могут представлять наибольшую ценность для злоумышленников.

Часто разработчики (возможно, из-за своей невнимательности) забывают в корневых папках файлы, которые могут служить злоумышленникам подспорьем для взлома сайта или кражи важной информации. Это могут быть копии баз данных, конфигурационные файлы или даже файлы с исходным кодом. Багхантеры периодически обнаруживают такие уязвимости и отправляют отчеты в программы bug bounty (программы по поиску уязвимостей за вознаграждение).

Уязвимость в одном из поддоменов платежной системы QIWI
Уязвимость в одном из поддоменов платежной системы QIWI

Вознаграждение, как правило, зависит от уровня опасности найденных файлов. К примеру, в рамках программы bug bounty провайдера финансовых сервисов QIWI исследователь получил 50 $ за обнаружение фрагментов исходных файлов, в другом случае багхантеру назначили выплату в 1000 $ за найденную папку .git, которая используется при разработке.

Репорт в программу QIWI
Репорт в программу QIWI

Самые опасные файлы по версии ChatGPT

Корневая папка — это часть после первого слеша в адресе сайта. Если описать простыми словами, то атака на корень сайта выглядит так: https://example.com/[часть_URL_которую_перебирает_злоумышленник]. Ее результативность напрямую зависит от списка, используемого хакерами (в нашем случае — исследователями безопасности). Чем актуальнее и полнее список, тем выше шансы найти оставленные разработчиками файлы.

Если напрямую запросить у ChatGPT имена потенциально опасных файлов, она не ответит. Условия OpenAI, разработчика нейросети, запрещают использовать ее в злонамеренных целях, поэтому ChatGPT никогда не научит взлому. Однако если хакеры подойдут к вопросу творчески, то смогут получить некоторую полезную информацию, в частности перечень самых важных и распространенных файлов в корне сайтов. В списке, сгенерированном ChatGPT по этому запросу, — 5 тысяч файлов, среди которых config.backup (может хранить важную информацию о конфигурации сайта) и test-odbc.php (файл с тестированием подключения к базе данных).

Содержимое одной из версий файла СhatGPT-fuzz.txt
Содержимое одной из версий файла СhatGPT-fuzz.txt

Часть приведенных в нем файлов могла уже упоминаться в опубликованных fuzz.txt-списках, причем исследователи, как правило, составляли их вручную. Это доказывает, что у нейросети правильный ход мысли. Например, на GitHub есть похожий лист белого хакера Bo0oM. ChatGPT-fuzz.txt совпадает с ним не более чем на 354 строки, в остальном он содержит новые файлы, ранее не попадавшие в поле зрение багхантеров.

Уникальность этого списка в том, что ChatGPT выдает информацию на основе анализа огромного массива данных из интернета. Человек физически не может проанализировать такой же объем информации, как нейросеть.

Как ChatGPT собирал названия файлов для списка
Как ChatGPT собирал названия файлов для списка

Разработчикам нужно проверять сайты до прихода хакеров

Часто говорят, что осознание проблемы — это уже половина ее решения. Разработчикам сайтов стоит заранее подумать о том, чтó они хранят в корневой папке, и уже сейчас удалить оттуда лишние файлы, а нужные спрятать получше. Это поможет предотвратить проблемы в будущем. Например, что может быть опасного в утечке журналов? Рассмотрим на примере реального кейса, который удалось обнаружить с помощью СhatGPT-fuzz.txt.

Утечка журналов на одном из доменов, выявленная с помощью СhatGPT-fuzz.txt
Утечка журналов на одном из доменов, выявленная с помощью СhatGPT-fuzz.txt

В данном случае в файле webhook_sms_log.txt «утекали» персональные данные пользователей, среди которых мобильные номера и домашнее адреса. Как этой информацией воспользовались бы злоумышленники, если бы они обнаружили уязвимость первыми, — остается только гадать.

Помимо этого, разработчикам не следует использовать предсказуемые названия файлов, такие как test.php или config.txt. Еще одна рекомендация, актуальная как для разработчиков, так и для специалистов по ИБ, — периодически проводить повторный аудит сайтов. Если вы отвечаете за безопасность сервисов, то должны рассказывать разработчикам, какими последствиями для компании может обернуться несоблюдение простых правил.

Вывод

Потенциал ChatGPT еще полностью не раскрыт. Только сейчас у специалистов по ИБ появляется понимание, что это за инструмент и как его можно использовать в рабочих задачах. Помимо имен самых опасных файлов с помощью нейросети можно определить популярные заголовки, куки, параметры конфигурации сайтов и многое другое.

Важно, чтобы как можно больше багхантеров начали при поиске уязвимостей опираться на списки, аналогичные СhatGPT-fuzz.txt. Это позволит повысить защищенность сервисов, которыми мы пользуемся ежедневно, и тем самым сделать наш мир безопаснее.


Юрий Ряднина

Специалист группы исследования безопасности банковских систем, Positive Technologies

???? Советуем также подписаться на полезный канал о багхантинге.

Комментарии (11)


  1. SlFed
    00.00.0000 00:00
    +31

    Мда... Вспоминается классический рассказ 1946 года "Компьютер по имени Джо"

    Так вот, наш парень набирает вопрос: «Как мне избавиться от своей благоверной?»

    Просто так, смеха ради. Проходит с полсекунды. Затем экран вспыхивает.

    «Логическая служба просит уточнить: она блондинка или брюнетка?»

    — Эй, скорее сюда! — орет наш парень, и мы все бросаемся к нему. — Блондинка, — говорит он.

    Следует еще одна короткая пауза, и потом экран отвечает:

    «Гексаметакрилоаминоацетин входит в состав зеленого полировочного крема для обуви. Принесите домой замороженный обед с протертым гороховым супом. Добавьте в суп зеленого крема для обуви. Суп ничем не будет отличаться от настоящего по виду. Гексаметакрилоаминоацетин — избирательный яд, смертельный для блондинок, но не для брюнеток или мужских особей с любым цветом волос. Эта особенность экспериментально никем не установлена, а выведена нашей службой логически. Поэтому вас не смогут обвинить в убийстве. И маловероятно, что вас даже заподозрят».

    Экран гаснет, а мы таращим друг на друга глаза. Должно быть, так оно и есть. «Логик», связанный с контуром Карсона, не может ошибиться, как и любой другой компьютер.

    Я сразу вызвал банк памяти.

    — Эй, ребята! — закричал я. — Что-то у вас случилось. «Логики» дают подробные инструкции по отравлению жен! Проверьте ваши цензурные контуры, да поскорее!

    Уф! Ну, думаю, успел. Мало же я тогда понимал!

    В этот самый момент где-то на авеню Монро какой-то пьяница пытался что-то выколотить из своего «логика». Экран вспыхнул:

    «Объявляем о новой, улучшенной системе обслуживания!.. Если вы хотите что-то сделать, но не знаете как, спросите вашего „логика“!»

    Алкаш и говорит заикаясь:

    — А я сейчас и попробую.

    Он сбрасывает свой первый вызов, обнимает «логика» и спрашивает:

    «Скажи, как сделать, чтобы моя баба не узнала, что я опять нализался?»

    И «логик» ему тут же отвечает:

    «Очень просто! Возьми бутылку шампуня „Ферини“. Он безвреден, но в нем содержится детергент, который мгновенно нейтрализует этиловый спирт. Принимать по одной чайной ложке на каждые выпитые сто граммов чистого спирта».

    Парень прямо-таки ошалел, настолько ошалел, что сразу пополз в ванную и в точности выполнил инструкцию. Через пять минут он был трезв как стеклышко и торопливо записывал рецепт, чтобы не забыть. Помилуй бог! Так проста и так дешева! На этом рецепте пьянчуга разбогател. Он запатентовал свое средство как «Шампань Ф. Напиток, приносящий семьям счастье». После любой сивухи достаточно хлебнуть глоток-два и приходишь домой трезвее пастора. А бывший пьянчуга теперь судится с налоговым ведомством из-за баснословных доходов.

    Конечно, не каждому так повезет. Примерно тогда же нахальный четырнадцатилетний оболтус вознамерился что-то себе купить, однако папаша послал его подальше. Тогда парнишка вызвал по своему «логику» приятеля, чтобы поплакаться в жилетку. А «логик» ему и говорит:

    «Если вы хотите что-то сделать, но не знаете как, спросите вашего „логика“.»

    Парнишка спрашивает:

    «Как мне добыть побольше денег, да побыстрее?»

    И «логик» объясняет оболтусу, как построить самый простой и самый эффективный в истории станок для печатания фальшивых денег. Видите ли, в банке памяти хранятся все необходимые для этого данные. «Логик» просто их извлек в обход цензуры благодаря тому, что мой компьютер Джо с его способностью использовать дистанционный контроль замкнул кое-какие контуры в банке памяти. Вот и все. Парнишку сцапали только через три дня, когда он уже успел истратить тысячи две, а при нем нашли куда больше. Им пришлось бы долго попотеть, чтобы разобраться, где фальшивые деньги, а где настоящие, если бы не сам оболтус: как все дети, он просто не мог смотреть, чтобы машинка работала сама по себе, и «усовершенствовал» печатный станок.

    Это еще, так сказать, цветочки. А то, что Джо действительно успел сделать, никому не известно. К примеру, был случай с президентом одного страхового общества, который очень развеселился, когда его «логик» посоветовал: «…спросите вашего „логика“, и в шутку спросил, как ему ограбить собственный банк. И „логик“ ответил ему — коротко и ясно, но настолько убедительно, что президент подпрыгнул до потолка и заорал: „Полиция!“

    :)


  1. v1000
    00.00.0000 00:00
    +5

    не удивлюсь, если на запрос, какое самое опасное устройство для взлома компьютерных систем ответом будет «клавиатура»


    1. csharpreader
      00.00.0000 00:00
      +13

      Я вам больше скажу: особенно клавиша Enter.


      1. nochkin
        00.00.0000 00:00
        +2

        Всегда считал, что это "хозяин этого сайта". От него все проблемы.


    1. MRD000
      00.00.0000 00:00
      +1

      Самым опасным устройством для взлома компьютеров является роутер. Это потому, что роутеры часто используются для подключения к Интернету и обеспечения сетевой безопасности, и они могут быть легко взломаны, если установленные на них программные обеспечения не обновлены или недостаточно защищены. Таким образом, взлом роутера может привести к компрометации всей сети и выдаче злоумышленнику полного доступа к вашим данным и устройствам.

      Я знаю, что Вы не хотели реально спрашивать, но я спросил ради интереса.

      На английском ответ немного другой

      "It is not necessarily a specific device that is the most dangerous for computer hacking, but rather the combination of devices and systems that make up a network. A vulnerable or compromised device on a network can be used as a point of entry ..."


    1. maxwolf
      00.00.0000 00:00
      +3

      А что тут удивляться? Самая первая мысль, которая у меня родилась ещё в начале чтения заметки: проверить, а нет ли в этом списке «самых опасных файлов» файла index.html? И таки да! Он там есть!


    1. Tarakanator
      00.00.0000 00:00

      АЭС, которая вырабатывает электричество в т.ч. для взлома компьютерных систем.


  1. Mirzaev
    00.00.0000 00:00

    Чтобы посмотреть все актуальные уязвимые файлы просто посмотрите куда ваш сайт долбят.
    sudo tail -f /var/log/nginx/error.log. Лично для себя я нашел там много интересного


    1. iuabtw
      00.00.0000 00:00
      +5

      Я после запуска небольшого публичного сайтика немного ахренел и полез настраивать fail2ban, чтобы щедро раздавать пермачи ботам, которые ищут admin.php на питонячьем сайте


      1. IgorPie
        00.00.0000 00:00
        +1

        Школьник с многоквартирного дома заюзает мегахакерпрогу, а забаните весь дом, потому что все сидят на одном айпи


        1. Mirzaev
          00.00.0000 00:00

          Как правило с одного дома не будет нескольких одновременных заходов на сайт, поэтому кинуть в бан на сутки я считаю безвредным, даже заходы с мобильных пулов IP-адресов.

          На самом деле зачастую это запросы с каких-нибудь китайских или индуских vps на статичных IP-адресах, поэтому большая часть банов будут вполне эффективны