בדיקות חדירות ואבטחה לאוצריא

[ע"ה דכו"ע]

זה לא היה כזה קל, וזו לא היתה פירצה שנבעה מחוסר אבטחה טוטאלי, ס"ה באחד מתוך כל הנתיבים שמאפשרים העלאת קבצים היה חסר שני שורות קוד (בכל הנתיבים זה כן היה חסום).

גם הפירצה הקודמת שמצאת קשה לקרוא לה חוסר אבטחה טוטאלי, כמו נניח אם הנתיבי API היו פתוחים לכל דורש.

כלומר גם מתכנת מקצועי היה עלול לפספס את שני החורים האלו, בשביל זה יש מקצוע מיוחד שנקרא חוקר אבטחה.

[אף אחד 3]

@ע-ה-דכו-ע מחילה אבל לדעתי אתה קצת חושב כמו מתכנת vibe שאחר כך עובר על הקוד ומתקן אותו
מתכנת טוב שיכתוב את הקוד הזה מלכתחילה לא יכתוב פונקציה שניגשת למידע רגיש ולא בודקת הרשאות או פונקציה שלא מוודאת טיפוסים ואם זה קרה זאת אשמה אישית שלו
דעתי בכל אופן
ואגב יש לך בעיה ב regex של שינוי המייל - אי אפשר לשנות למייל שיש בו את האות s (באת לסנן רווחים כנראה)
(במקרה עליתי על זה כי רציתי לשנות לכתובת שתוביל לתווית במייל שלי ויש לי s בכתובת)

[חגי]

@ע-ה-דכו-ע לא לוקחים חוקר אבטחה על דברים כאלה, זה בסיסי מספיק כדי שהמתכנת יוכל לדאוג לזה.
והאמת שגם הייתי מצפה מבינה מלאכותית לא לפספס כזה דבר, אבל זה תלוי במודל.

[dovid]

@אף-אחד-3 לא מסכים איתך, מתכנת (בודד, או ללא Review) טרום הבינה מלאכותית משאיר חורים גדולים יותר.
הבעיה היא פה לא הvibe אלא כנראה דוקא כתיבה ידנית או שימוש חפוז בAI.

[ע"ה דכו"ע]

@אף-אחד-3 @חגי
ברור שמתכנת גם אמור לשים לב, ואפילו מי שמתכנת עם AI, והא ראיה שבכל שאר הנתיבים לא היתה בעיה כזו, ס"ה אמרתי שיכול לקרות כזו פשלה (בתור פשלה שהיא בהחלט אשמה אישית שלו) גם למתכנת, כך היא דעתי.

לאפוקי מאתרים שנבנים בbase44 למשל שמשום מה רואים באמת איך הרבה פעמים אין בהם טיפת אבטחה.

[צבי-ש]

פרויקט שנבנה בטלאים על טלאים, עם חלק אנשים שיודעים מה הם עושים, וחלק לא, יכול להיות שלא היה מספיק חשיבה על זה, או שלא היה כח / רצון לחשוב מחדש על הכל ביחד כשלא ברור עד הסוף מה באמת יש ומה אין.

יכול להיות כיום שאם יתנו למודלים מסויימים כיום את הקוד מקור, ויגידו להם לעשות סקירת אבטחה טובה הם יכולו למצוא שם כמה דברים שחשוב לתקן

[dovid]

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

פרויקט שנבנה בטלאים על טלאים, עם חלק אנשים שיודעים מה הם עושים, וחלק לא, יכול להיות שלא היה מספיק חשיבה על זה, או שלא היה כח / רצון לחשוב מחדש על הכל ביחד כשלא ברור עד הסוף מה באמת יש ומה אין.

הגדרת כעת את רוב המוצרים המסחריים (!) בשוק, הישראלי בוודאי.

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

יכול להיות כיום שאם יתנו למודלים מסויימים כיום את הקוד מקור, ויגידו להם לעשות סקירת אבטחה טובה הם יכולו למצוא שם כמה דברים שחשוב לתקן

כל מודל ימצא את הבעיות שמצאו פה, אבל צריך כח לדבר איתו ולהבדיל בין בעיות של ממש לפחות וגם כח לתקן לבד ולא ללכת כסומא אחריו עד שהוא דופק את כל הפרוייקט.

[צבי-ש]

@dovid כתב בבדיקות חדירות ואבטחה לאוצריא:

הגדרת כעת את רוב המוצרים המסחריים (!) בשוק, הישראלי בוודאי.

הם לא מוצרים שאספו מתכנתים ככה

@י.פל. כתב בדרוש לאוצריא: מתכנת אתרים אמיץ...:

אחד מחברי פרוייקט אוצריא, בנה אתר שיתופי לעריכת קבצים להכנסתם למאגר.
הבנייה הייתה במספר שלבים, מעבר מ..?? למונגו DB, ועוד שינויים רבים.
כרגע: השרת בvercel, הקוד בגיטהאב [פריסה אוטומטית בכל commit], ואולי עוד...
אין לי יכולת [מבחינת זמן, וגם כח] לבדוק מה הולך שם, אך כרגע אנחנו תקועים לאחר שהלה פרש, לפני שהספיק לסדר את הבלגן האיום והנורא שהוא עשה.

אנו חוששים שאם העסק יתקע, ולא יהיה ניתן לערוך ספרים, לא נצליח בהמשך להרים אותו.

אם יש לך מספיק אומץ כדי להכנס ליער של קוד זבל, קבצי md עם הוראות והסברים מזמנים שונים, ועוד ועוד, אשמח אם תפנה למייל שבפרופיל שלי, ותסייע לנו - ולכל עורכי הספרים!

חשוב לציין: הקוד נכתב ע"י AI, ברובו אם לא בכולו. אין לי מושג לגבי מידת הידע של הנ"ל.

[dovid]

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

הם לא מוצרים שאספו מתכנתים ככה

במסחרי זה אכן הולך אחרת.
קיבלו מתכנתים לעבודה, פיטרו, לקחו אחרים, התפטרו, לקחו אחרים וכולי.
בתכלס, זה בדיוק אותו דבר, עם מעלה לאוצריא שיש שמה הרבה הרבה יותר אכפתיות, אולי טיפה פחות פרוייקטורים ומנהלים שממוקדים, פחות פגישות עם כיבוד משמין, ואולי פחות שעות עבודה, כבר לא זוכר מה מעלה ומה חיסרון :).

[פלמנמוני]

@אף-אחד-3 יאלה, לפירצה הבאה
אני עדיין מחכה למייל כופר ממערכת אוצריא עצמה

[dovid]

@פלמנמוני התכוונת לתייג כנראה את @אף-אחד-3

[מד]

@dovid אולי הזמן לפתוח פה קטגוריה מיוחדת לבקשות כאלו... זה יהיה הקטגרויה הכי חם פה.
כלומר זה המקצוע היחיד שהולך לישאר לבני בשר ודם (וג"כ לא להרבה זמן..)

[ע"ה דכו"ע]

@מד כתב בבדיקות חדירות ואבטחה לאוצריא:

כלומר זה המקצוע היחיד שהולך לישאר לבני בשר ודם (וג"כ לא להרבה זמן..)

AI יודע בהחלט לבצע גם את זה (כמובן לא כמו בן אדם, כמו כל הדברים), רק שהוא לא תמיד עושה זאת בברירת מחדל.

[dovid]

@ע-ה-דכו-ע כתב בבדיקות חדירות ואבטחה לאוצריא:

AI יודע בהחלט לבצע גם את זה (כמובן לא כמו בן אדם, כמו כל הדברים)

ב95% הרבה יותר טוב מבני אדם.
אלא שנכון להיום הוא צריך נהג טוב, כשהמשתמש יותר מידי בור הוא מגביל אותו או בכלל לא מגביל אותו ואז התוצאות לא רצויות.

[י.פל.]

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

הם לא מוצרים שאספו מתכנתים ככה

סליחה: אתה מסלף!
האתר הישן היה זבל: זו הסיבה שאפילו לא יסיתי לתקן אותו, אלא @ע-ה-דכו-ע כתב הכל מחדש, ו @פלמנמוני הוסיף המון המון פיצ'רים.
אין שום קשר בין מה שהיה אז - למה שהיה כיום.
אפילו הפריצה של התמונה ( @אף-אחד-3 אתה מוכשר!) זה היה נתיב העלאות שנפתח לצורך בדיקה ח"פ, ושכחו לסגור אותו... זה לא היה נתיב שלא אבטחו: זה היה נתיב שלא מחקו!

לסיכום: בנתיים 2 פרצות נמצאו (השתלטות על חשבון מנהל + העלאת תמונה), אני - כאחד שאינו מתכנת - מאוד מסופק מה ה אומר על האתגר שפתחתי, מה זה אומר על תכנות עם AI, ואם ניתן להביא מזה ראיה.
מה דעתך, @dovid ?

[צבי-ש]

@י.פל. כתב בבדיקות חדירות ואבטחה לאוצריא:

סליחה: אתה מסלף!

אתה כתבת את זה לפני יומיים

@י.פל. כתב בבדיקות חדירות ואבטחה לאוצריא:

רק להדגיש: מי שעשה לנו את זה (את הרוב, עכ"פ, זה מישהו שיודע מה הוא עושה, אבל בונה בעיקר עם AI.
אבל הרבה נוצר גם ע"י מישהו שלא מבין.

מה שהזכיר לי את הפוסט שכתבת אז לחיפוש מתנדבים.

אני לא מכיר את אוצריה ואת האתר מפנים ומי כתב שם איזה חלק בקוד, אני ציטטתי אותך בחיפוש מתנדב, ובפוסט מלפני יומיים.

וכמובן סליחה אם מישהו נפגע מדבריי כאילו האתר בנוי כושל או משהו כזה, עדיין לא השתמשתי בו או ראיתי את הקוד שלו כדי לדעת דבר כזה

לגופו של עניין אם לקחו שליטה כמו שאתה כותב על חשבון מנהל, ואם אני מצרף את מה שאף-אחד-3 כתב, שהוא פשוט ניסה את id מספר 1 אז לכאורה אפשר להיכנס לכל החשבונות גם, ולא רק על חשבון ספציפי

לגבי האתגר שפתחת, אהבתי מאוד, אשמח אם יהיה פה קטגוריה לדברים כאלה, מאמין שאעבור שם על הפוסטים באדיקות, ואולי גם אוסיף כמה כאלה.

עריכה:

אגב,
לגבי מה שכתבת

זה לא היה נתיב שלא אבטחו: זה היה נתיב שלא מחקו!

אני חושב שזה גם גרוע, כי נתיב שימושי עוברים עליו, וסורקים אותו מפעם לפעם כשצריך לשנות משהו, ונתיב ששכחו מיותר ומיותם ייסרק פחות מטבע הדברים

[ע"ה דכו"ע]

@צבי-ש האתר אכן נכתב ע"י אחד שמשתמש המון בAI, ורק עובר על זה קצת (לא תמיד)... זה היה אני במקרה (בעיקר הבסיס, כל ההמשך כבר היה @פלמנמוני בעיקר).

הכוונה שזה לא סתם מקבץ אנשים שכל אחד מנסה את כוחו עד שהוא מחליט שזה לא בשבילו, אלא שני אנשים פחות או יותר, שעושים את זה, והעמידו אתר נחמד מאוד בסופו של דבר.

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

לגופו של עניין אם לקחו שליטה כמו שאתה כותב על חשבון מנהל, ואם אני מצרף את מה שאף-אחד-3 כתב, שהוא פשוט ניסה את id מספר 1 אז לכאורה אפשר להיכנס לכל החשבונות גם, ולא רק על חשבון ספציפי

זה לא שהוא ניסה את ID מספר אחד, אלא את הID שהגיע הראשון ברשימת המשתמשים (כנראה היה ממוין לפי נקודות או משהו).
זה נכון שהוא היה יכול לבחור כל אחד מהמשתמשים, אבל מה זה מוסיף יותר מאשר חשבון מנהל?

אגב הוא השתמש בהזרקת שאילתת NoSql במקום טוקן לאיפוס סיסמה, והיה חסר בדיקת טיפוס שיהיה דווקא סטרינג (אם זה מענין).

[אף אחד 3]

@ע-ה-דכו-ע ליתר דיוק היה אפשר להיכנס לכל חשבון שאני יודע את כתובת המייל שלו ויכול להגיש בקשה לאיפוס סיסמה בשמו

[ע"ה דכו"ע]

@אף-אחד-3 כתב בבדיקות חדירות ואבטחה לאוצריא:

@ע-ה-דכו-ע ליתר דיוק היה אפשר להיכנס לכל חשבון שאני יודע את כתובת המייל שלו ויכול להגיש בקשה לאיפוס סיסמה בשמו

נכון, ואת כתובת המייל יכלת לקבל בקלות מהמון מקומות, בין השאר גם באתר.

אגב אפשר עם ההזרקה הזו של השאילתה לקבל עוד הרבה פרטים, וגם לשנות אולי, אני טועה?

[אף אחד 3]

@ע-ה-דכו-ע לא
עם ה path traversal אפשר
ה SQL injection היה רק בשאילתה של האיפוס סיסמה