AppSec
Introdução
Durante a condução de um pentest blackbox [quando não há qualquer informação sobre o alvo, como tecnologias implementadas, credenciais ou formas de acesso] nos deparamos com uma tela de login em um aplicativo mobile em que consistia no preenchimento de 3 campos [Código da Empresa, Usuário e Senha], conforme podemos observar na imagem ao lado:
Afinal, o que é OSINT [Inteligência de Fontes Abertas]?
Com isso, podemos observar qual era o formato de cadastro da empresa na plataforma, com dígitos numéricos no início, parte do nome da empresa no meio e mais 4 dígitos numéricos no final, como, por exemplo, “000empresa1111″.
Após essas validações, realizamos um ataque de força bruta na aplicação e obtivemos sucesso com acesso total a aplicação, inclusive com acesso a usuários administrativos.
Com tudo isso, podemos concluir que a realização de um bom processo de OSINT [Inteligência de Fontes Abertas] na realização de um pentest podem fazer toda a diferença, pois muitas informações estão dispostas na internet sem qualquer tipo de sanitização e dessa forma é possível que um ator malicioso possa, através dessas informações, obter acesso a dados sigilosos ou até mesmo acesso a uma aplicação com privilégios administrativos, como o que foi mostrado nesse post.
Salientamos então que é de extrema importância que as empresas verifiquem, quando do lançamento de algum manual, seja ele em texto ou vídeo, para que não contenham dados sensíveis, credenciais verdadeiras e as formas de cadastros em determinada aplicação com dados verdadeiros, uma vez que, após publicado esse material, ele poderá cair em mãos erradas e com isso comprometer todo ambiente corporativo, causando prejuízos financeiros, de imagem entre outros.
Aos analistas de segurança, considerem todos os mecanismos de buscas e filtros disponíveis nos mesmos, pois onde menos imaginamos podemos encontrar informações relevantes e sensíveis e estaremos um passo à frente por uma sociedade mais segura.