Re: [討論] 如何最大化工作成果?

作者: seanwu (海恩)   2022-10-09 00:16:03
※ 引述《Voltaire3756 (Voltaire_young)》之銘言:
: 各位大大好
: 小弟是名懷抱著資安夢的韌體仔
: 最近在工作中發現一個目前尚未被揭露的系統底層資安漏洞
: 因希望有朝一日能轉換跑道至資安領域
: 希望能將此次發現轉化成小弟在資安領域的敲門磚
: 故發文詢問各位大大意見
: 感謝各位大大,感激不盡
: 小弟對於資安的理解,對某些大大而言非常外行
: 如果以下內容有任何錯誤 或 令您啼笑皆非的想法
: 希望大大手下留情,別鞭得太重QQ
因為資安領域的範圍滿廣的,各種工作的差異性不小
不過原PO看起來應該是對漏洞研究這塊有興趣,
我應該還是可以提供一些個人經驗和主觀看法XD
: =====資安漏洞=====
: 模組A 先前被通報存在 漏洞a (CVSS 7.5)
: 模組B 是為了解決 漏洞a
: 模組B 的原理是存取特定資料前,必須先輸入密碼以解鎖存取保護
: 小弟發現 模組B 存在 漏洞b
: 利用 漏洞b,可以繞過密碼驗證,強行解鎖並直接竄改管理者密碼
: =====影響層面=====
: 因為小弟成為韌體仔還不到半年
: 只知道好像很多底層參數需要管理者權限才能動
: 但具體可以達到什麼程度,小弟還沒概念
: 目前實驗發現可以開關某些 I/O port 跟 亂改參數導致系統 shut down
: 好像還可以偷塞東西進記憶體,然後引導系統去執行(還在研究怎麼弄)
除了漏洞本身可做到哪些事 (DoS、CE、Leakage...)
它的嚴重程度也會跟攻擊者需要多接近目標有關,
通常來說可以遠程攻擊的話會是比較嚴重的,
但如果需要在本地執行甚至物理上接觸目標那影響就比較小,
這點也可以從 Zerodium 給的bounty看出來 https://zerodium.com/program.html
原PO描述的漏洞至少能DoS,而且看起來有機會做到Code Excution,
如果這個管理介面是可以從遠端碰到的,比方說router在WAN端的登入介面,
那就算是比較嚴重的RCE漏洞了,一般的漏洞回報平台應該都會收
: =====疑問=====
: Q1. 該如何最大限度的確保自己的Credit?
: 以小弟對資安事件揭露機制的認識
: 好像不會紀錄發現者或第一個揭露者的資訊
: 雖然小弟的發現跟去年熱門的"log4j"相比,明顯微不足道
: 小弟想好好抓住此次機會,希望能作為進入資安領域的契機
: 目前還沒有人揭露相關漏洞,擔心拖太久會被人搶先一步
發現漏洞後,一般會希望能拿到一個CVE編號,
雖然CVE ID本身不會揭露投稿人的資訊,但可以附references連結,
這裡就可以連結到跟你有關的資訊
要申請CVE ID,最簡單的情況那個軟體或設備的廠商自己有漏洞回報機制
https://www.cve.org/PartnerInformation/ListofPartners
有些還會有自己的Bounty Program,鼓勵研究人員回報漏洞,
也是有靠獎金就可以養活自己或發大財的傢伙,是誰我就不說了
如果廠商自己沒有的話,還是可以回報給廠商
不過如果想避免各種可能的"麻煩",那可以直接回報給漏洞回報平台,他們再設法回報。
像是趨勢的ZDI,基本上各類型的漏洞都會收,雖然不高但也會有少量的獎金
通過的話,我印象中ZDI會直接幫你送CVE,不用自己填
另外如果標的是在國內的話,可以回報給HITCON Zeroday,
一些範圍比較特定的,像某某學校SQL injection之類的,就可以丟
這兩個平台都可以在官網上查到credit,你可以附在CV裡
: Q2. 該如何在面試時,呈現此次成果呢?
: 主要有兩大顧慮:可信度 & 被告
: 首先是"可信度"問題
: 如果僅以上述"資安漏洞"的內容來描述小弟的發現
: 依照好友反饋,感覺很像是自己瞎掰的
: 再來是"被告"問題
如果廠商有自己的回報機制,只要不違反它的規定 (通常會限制不可以打正在跑的服務)
一般來說不會有問題。
沒有的話還是丟平台好了,他們會有完善組織和流程負責被告 :)
有聽說電話來不是要問漏洞細節而是要告人的
也有一些講的很開放,但EULA寫說不可以逆向分析,不知道想表達什麼的
這種就說做夢夢到PoC,到底哪裡出bug給他們自己煩惱就好
: 為了避免讓人覺得小弟在瞎掰的印象
: 勢必得透漏部分細節
: 透漏得越多,被告的可能性越高
: 目前小弟打算錄一小段實機演示影片
: 把過程中跟演示內容無關的部分上馬賽克
: 希望大大們提點需要注意的部分
除非你是Project Zero,家大業大不怕有人來告
漏洞不修? 給你三個月不然強制公開,大家一起來開party
一般做法就是回報 -> 等它修掉 -> (你)公開細節,然後可以發blog、投conference
如果CVE申請是自己填的,也可以附加上去,這樣大家就都知道這是你幹的
: Q3. 如何避免面試官對小弟"誠信度"的疑慮?
: 具規模的公司,通常都會將"誠信度"納入選才評分中
: (還是這只是小弟的偏見?)
: 為了展示此次成果,無可避免地需要揭露一些外人難以得知的資訊
: 然而某某公司內部機密洩漏的新聞時有所聞
: 小弟擔心在展示過程中沒拿捏好尺度
: 會讓面試官心生疑慮
: 這樣就陷入了一個微妙的 trade off
: 說得詳細具體,雖然可信度上升,但會導致個人誠信度下降
: 說得模糊籠統,讓人感覺在瞎掰,直接出局
: (讓人感覺在瞎掰好像也會降低誠信度)
像面試這種場合私底下講講你的發現,我是覺得沒什麼關係,不然無從討論起,
太高調亂搞、弄到上新聞的那種才會黑掉。
漏洞的細節是你的底牌,正常做漏洞研究的人不會沒事去翻它,
反過來想免費釣你情報的公司還是別去吧
你可以分享怎麼發現這個漏洞的、用什麼工具、怎麼去分析,
有經驗的聽了就知道是不是在唬爛
: Q4. 小弟與面試官的認知差距
: 人最害怕的莫過於 不自知 與 自我感覺良好
: 小弟擔心前述所有的擔憂只是自己的一廂情願
: 說不定對面試官而言,小弟的成果微不足道,加不了多少分
: 可能面試官更看重的是近期版上熱門的"刷題"
: 小弟想向有經驗的大大請教
: 如果想進入資安領域,一般面試官最重視的項目有哪些?
以研究員來說,會看你會不會使用分析工具和分析手法
有時候可能給你一個情境問你會怎麼做,做這個看的是你「解決問題」的能力
當然對一般漏洞有哪些型式、利用的方法,還是要有基本的了解
雖然很吃經驗,但不見得一定要有豐功偉業才代表你很厲害,很多強者都是很低調的
CVE、CTF 經驗、投稿這些當然是加分項,不過沒有的話也沒關係
這些只是最容易評估你的能力的一個方式
除了口頭面試,也有可能給個作業回去做
刷題的話... 如果你有 Codeforces、Topcoder、UVa 帳號,
或 Code Jam、Hacker Cup 得名的話就附吧XDDD
畢竟 ACMer 轉 CTFer 都是非常強的,做研究應該也不會弱到哪
不然就去刷一下 pwnable.tw 看看,
不要因為受到打擊放棄走這條路就好...實務上的情況沒那麼難
: 想憑一個小發現來證明自己的對資安領域的嚮往或能力,是否太異想天開了?
資安領域範圍很廣,甚至不見得需要會寫code
我待的公司也有威脅情資分析師是外文系畢業的
雖然比起學生時代會少一些資源能用 (像AIS3這種培訓計畫)
但要轉職也不算晚,個人覺得有興趣就可以嘗試看看
原PO是做韌體相關的工作,想必系統底層、組語之類的都很熟悉吧,
要轉漏洞研究領域,滿多經驗應該都用得上
對了,我不看你拿幾張資安證照
那對漏洞研究一點意義都沒有 :p
作者: e12518166339 (耐綸)   2022-10-09 01:05:00
作者: louis117228 (湯圓桑)   2022-10-09 11:07:00
Push
作者: scottxxx666 (高高)   2022-10-09 11:50:00
推,詳細
作者: lchcoding   2022-10-09 11:53:00
作者: Voltaire3756 (Voltaire_young)   2022-10-09 17:00:00
感謝大大,小弟有些細節想請教,請問方便寄信詢問嗎
作者: miroase (Dasdas123)   2022-10-09 17:39:00
完全看不懂 但有料
作者: kiki86151 (魯飯)   2022-10-09 17:57:00
推大大 本人不就是IOI ACMer玩到頂轉CTFer的強者嗎XD
作者: L4ys (Lays)   2022-10-09 17:58:00
推, seanwu 是我的偶像
作者: seanwu (海恩)   2022-10-09 18:01:00
@Voltaire3756 沒問題喔~
作者: ck237 (白色小雞)   2022-10-09 18:47:00
作者: jasonwung (路人JJ)   2022-10-09 20:43:00
酷ㄟ,雖然我有看沒有懂
作者: ddaa (ddaa)   2022-10-09 23:50:00
推, seanwu 是我的偶像
作者: viper9709 (阿達)   2022-10-10 00:29:00
推專業
作者: Hsins (翔)   2022-10-10 17:56:00
作者: lane569 (byderlane)   2022-10-10 20:05:00
作者: e12518166339 (耐綸)   2022-10-09 09:05:00
作者: louis117228 (湯圓桑)   2022-10-09 19:07:00
Push
作者: scottxxx666 (高高)   2022-10-09 19:50:00
推,詳細
作者: lchcoding   2022-10-09 19:53:00
作者: Voltaire3756 (Voltaire_young)   2022-10-10 01:00:00
感謝大大,小弟有些細節想請教,請問方便寄信詢問嗎
作者: miroase (Dasdas123)   2022-10-10 01:39:00
完全看不懂 但有料
作者: kiki86151 (魯飯)   2022-10-10 01:57:00
推大大 本人不就是IOI ACMer玩到頂轉CTFer的強者嗎XD
作者: L4ys (Lays)   2022-10-10 01:58:00
推, seanwu 是我的偶像
作者: seanwu (海恩)   2022-10-10 02:01:00
@Voltaire3756 沒問題喔~
作者: ck237 (白色小雞)   2022-10-10 02:47:00
作者: jasonwung (路人JJ)   2022-10-10 04:43:00
酷ㄟ,雖然我有看沒有懂
作者: ddaa (ddaa)   2022-10-10 07:50:00
推, seanwu 是我的偶像
作者: viper9709 (阿達)   2022-10-10 08:29:00
推專業
作者: Hsins (翔)   2022-10-11 01:56:00
作者: lane569 (byderlane)   2022-10-11 04:05:00
作者: ppetter1025 (TreapKing)   2022-10-13 07:09:00
朝聖
作者: yumekanau (=v=)   2022-10-14 06:07:00
感謝大大分享
作者: ppetter1025 (TreapKing)   2022-10-12 23:09:00
朝聖
作者: yumekanau (=v=)   2022-10-13 22:07:00
感謝大大分享

Links booklink

Contact Us: admin [ a t ] ucptt.com