Привет!

Меня зовут Джебарсон Иммануэль, мне 19 лет, я исследователь безопасности и охотник за уязвимостями. Мне посчастливилось помочь обеспечить безопасность более 50 организаций, включая такие гиганты, как Oracle, eBay и Bosch.

В этой статье я расскажу, как простое сканирование портов в Google привело к вознаграждению в $500.

Находка:

Если вы когда-либо искали уязвимости на ресурсах, принадлежащих Google, вы знаете, как это бывает: инструменты для перебора поддоменов заливают вас десятками тысяч результатов. Звучит захватывающе, пока большинство из них не приведет в тупик.

Я уже проходил этот путь раньше. Много раз. И каждый раз я упирался в стену. Так что в этот раз я решил сменить тактику.

Вместо того чтобы полагаться только на стандартные инструменты разведки, я обратился к всеобъемлющим поисковым системам, таким как Shodan, FOFA и Censys. Но даже эти инструменты могут перегрузить вас данными. Простое выполнение запроса domain="google.com" дало мне 35,000 результатов.

Чтобы сузить область поиска, я отфильтровал общие порты, такие как 80, 443 и 25, используя логические операторы && и != для их исключения из поиска. Это снизило количество результатов до более приемлемого значения 1,500.

Тем не менее, ручное сканирование портов или исследование более чем тысячи доменов было бы невероятно трудоемким. Затем я применил второй уровень фильтрации. Я пропустил список через Httpx, чтобы получить коды состояния HTTP для их фильтрации, и использовал Gowitness для создания скриншотов, что позволило мне визуально просматривать каждый домен/IP.

Изучая скриншоты, я заметил один домен. Вместо обычной веб-страницы или ошибки он отображал следующее сообщение:

“It looks like you are making an HTTP request to a Hadoop IPC port. This is not the correct port for the web interface on this daemon.”

Быстрый поиск в Google подтвердил, что это ошибка, указывающая на наличие службы Hadoop.

Что такое Hadoop?

Apache Hadoop — это framework с открытым исходным кодом для хранения и обработки больших наборов данных на компьютерных кластерах. Он обрабатывает большие объемы данных и в основном используется для аналитики данных, отчетности и создания аналитики из больших данных.

После того как я немного прочитал об этом, я сразу же спросил у ChatGPT о распространенных портах служб Hadoop и проверил каждый из них, но наткнулся только на пустые страницы или ошибки 404. Разочарованный, я почти прошел мимо.

Я решил обратиться напрямую к официальной документации Apache Hadoop. В их справочниках по конфигурации я обнаружил порты, которые даже в ChatGPT упоминаются не так часто.

Один из них — порт 9868.

В чем суть?

Доступ к порту 9868 открывал публичный интерфейс веб-пользователя Hadoop с возможностью:

Удалять файлы или директории, хранящиеся в HDFS
Просматривать подробные журналы выполнения, включая трассировки стеков и ошибки на уровне служб
Проверять системные конфигурации, журналы и метрики

Это явно была серьезная уязвимость. Я сразу же сообщил об этом в Google через их Программу вознаграждения за уязвимости (VRP).

Хронология:

18 марта 2025: Сообщено

20 марта 2025: Принято. Серьезность: P1, Приоритет: S1

27 марта 2025: Проблема устранена, и начислено вознаграждение в размере 500 долларов

Вывод:

- ИИ инструменты отлично подходят для быстрого получения инсайтов, но к настоящим открытиям приведет только ваша собственная любознательность.

- Поисковые системы - это золотая жила для быстрых вознаграждений, если вы знаете, как использовать их с правильными фильтрами и контекстом.

Спасибо, что потратили время на чтение этого материала.

Ещё больше познавательного контента в Telegram-канале — Life-Hack - Хакер

Как простой скан порта привел к награде в $500 от Google: «Обычные маршруты часто остаются неисследованными.»