Чтиво Команда хакеров получила $22 000 за пристальное внимание к PornHub

[Gustav]

Команда хакеров получила $22 000 за пристальное внимание к PornHub

Какие хакеры? Какие деньги? Что происходит?
Хакеры

You must be registered for see links

, что проект был реализован некими

You must be registered for see links

,

You must be registered for see links

‘ом и

You must be registered for see links

. Они взломали Pornhub и заработали на этом $22 000.

Они украли эти деньги?

Нет, это добрые хакеры. Они получили деньги за обнаружение двух

You must be registered for see links

уязвимостей в PHP, и доказательство того, что их можно использовать для реальных атак. Началось всё с того, что они обратили внимание на программу вознаграждений Pornhub за найденные баги. Искать ошибки в самом Pornhub им показалось не слишком интересным, поэтому они решили сломать то, на чём он основан — PHP.

В чём же заключается уязвимость?
Во время анализа платформы Pornhub хакеры быстро обнаружили использование

You must be registered for see links

на POST-запросах. Как

You must be registered for see links

, использовать unserialise на пользовательском вводе нежелательно. Протестировав поведение unserialiseвсесторонне, хакеры выявили use-after-free уязвимость, которая вызвалась сборщиком мусора PHP. Подробнее об уязвимости, и о том, как они её использовали, можно прочитать в их собственном

You must be registered for see links

.

В Pornhub-то теперь о проблеме знают. А баги в PHP они зарепортили?
Да, и вы можете убедиться в этом:

• You must be registered for see links
  –
  You must be registered for see links
• You must be registered for see links
  –
  You must be registered for see links