Nemophobia

Hacker Berhasil Masuk ke Layanan Instagram Melalui Kerentanan RCE

<h1 class="post-title entry-title" itemprop="name">
<b><i>Wesley Wineberg</i></b>, seorang
 peneliti keamanan independen yang berpartisipasi dalam program 
pencarian bug Facebook, berhasil mencrack pertahanan Instagram dan 
hampir mendapatkan kontrol penuh atas layanan tersebut. Segera setelah 
white hate hacker tersebut mengungkapkan kerentanan terhadap Facebook, 
perusahaan mengancam akan menuntut, bukannya membayar kompensasi 
padanya.
</h1>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Wineberg mulai penelitian ke sistem Instagram mengikuti saran yang ia 
terima dari seorang teman, bahwa halaman Web sensu.instagram.com adalah 
sebuah panel administrasi untuk layanan Instagram dan tersedia untuk 
umum melalui Internet.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
<b><span style="font-size: medium;">SANG PENELITI KEAMANANAN MENGGUNAKAN AKSES BACKEND ADMINISTRATOR PANEL</span></b><br />
<b><span style="font-size: medium;"><br /></span></b>
<table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody>
<tr><td style="text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgRB3jlJpB7v4_uL_iKORi9a5NI8QevL_fGYBMihRdR3lgKJ_f3ewlLBoqy4wS7Hr6ifqobIUjZDVB0w1CaeQvSM7E2ydvdvVagAyxGIyGG7BYub-DphGnP2mCv4P7rAKIgdupe-xCONpxP/s1600/researcher-hacks-instagram-gets-backend-access-497792-2-768x448.jpg" style="margin-left: auto; margin-right: auto;"><img border="0" height="372" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgRB3jlJpB7v4_uL_iKORi9a5NI8QevL_fGYBMihRdR3lgKJ_f3ewlLBoqy4wS7Hr6ifqobIUjZDVB0w1CaeQvSM7E2ydvdvVagAyxGIyGG7BYub-DphGnP2mCv4P7rAKIgdupe-xCONpxP/s640/researcher-hacks-instagram-gets-backend-access-497792-2-768x448.jpg" width="640" /></a></td></tr>
<tr><td class="tr-caption" style="text-align: center;">Tampilah Sensu.instagram.com</td></tr>
</tbody></table>
</div>
<div style="text-align: justify;">
Peneliti dengan cepat melacak perangkat lunak yang digunakan untuk 
menjalankan panel administrasi tersebut (Sensu-Admin), dan menggunakan 
penelitian yang lebih tua yang mengatakan perangkat lunak mungkin rentan
 terhadap RCE (Remote Code Execution), ia akhirnya berhasil memecahkan 
layanan dan mengakses satu dari file konfigurasi yang berisi perintah 
untuk database PostgreSQL Sensu.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Dalam database ini, Wineberg menemukan lebih dari 60 rekening milik 
karyawan Instagram dan Facebook. Dia mengikuti penyelidikan dengan 
mengambil beberapa string password, dienkripsi melalui bcrypt, dan 
melanjutkan untuk memecahkannya.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Sejak mereka menggunakan beberapa password yang cukup lemah (misalnya: 
changeme, instagram, password), hasil cracking muncul dalam beberapa 
menit, dan ia dengan cepat dapat melanjutkan penyelidikan bugnya, dengan
 masuk pada interface sensu.instagram.com.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Tapi sang whitehat hacker Wineberg tidak berhenti di sini, dan dia juga 
telah melihat file konfigurasi lainnya yang ia temukan pada server 
tersebut. Di sini, di salah satu file, ia menemukan kunci akses ke akun 
AWS (Amazon Web Services), yang kemudian digunakan untuk mengakses 
beberapa ember S3 (unit penyimpanan data).</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Wineberg telah dengan sengaja menemukan source Instagram, sertifikat 
SSL, kunci API lain yang digunakan untuk berinteraksi dengan layanan 
lainnya, gambar pengguna, konten statis dari web instagram.com, atau 
sebagai peneliti ia sudah menemukan semuanya: "EVERYTHING"</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Namun di sini adalah dimana petualangannya berakhir, karena 
mempertimbangkan dirinya seorang white hat hacker atau sang peneliti 
kerentanan sistem, dan juga karena keterbatasan program pencarian bug 
Facebook, ia harus berhenti sebelum melakukan kerusakan nyata ke layanan
 tersebut.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Dia mengungkapkan temuannya kepada staf keamanan Facebook, tapi 
percakapan tidak berjalan seperti yang ia diharapkan, dan bukannya 
menerima imbalan dari Facebook untuk kerja kerasnya, Wineberg diabaikan 
dan ditegur oleh karyawan perusahaan.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
<b><span style="font-size: medium;">FACEBOOK MENGINTIMIDASI WINEBERG BERUPA ANCAMAN MELALUI GUGATAN HUKUM</span></b></div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Facebook CSO (Chief Security Officer), bahkan secara diam-diam memanggil
 Wineberg dan mengancam akan menggugatnya, kecuali Wineberg tetap diam 
tentang temuannya dan menghapus semua data yang mungkin  ia miliki.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Setelah tekanan, dan perilaku mafia-seperti yang dipamerkan oleh 
Facebook, sang White Hat Hacker memutuskan untuk go public dengan 
temuannya, dan menulis sebuah posting blog di mana ia memberikan kedua 
rincian teknis untuk mereproduksi bug dan percakapannya dengan divisi 
keamanan Facebook.</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
"Menurut pendapat saya, tindakan terbaik adalah menjadi transparan 
dengan semua temuan dan interaksi saya," kata Wineberg seperti dikutip 
dari <i>Hackread</i>. "Saya tidak ingin malu setiap individu atau 
perusahaan, tapi saya percaya bahwa saya dalam situasi ini benar-benar 
tidak pantas."</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Awal tahun ini, Wineberg menerima hadiah $24.000 untuk menemukan kerentanan keamanan di layanan Microsoft Live.com.</div>
<div style="text-align: justify;">
</div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhf1hVMXOCUzp0O7T3P-_vTUiqnL2p1-PkVbALljuhJTaGFrR_PtxBwqyZid-gZsk0VgcGAA0MBC7bn2UlYFpsbKcjO2UCcnTLSpe8fnUadQy5ABld177SDZympwD8GiwPakXDWU5dqpaxU/s1600/researcher-hacks-instagram-gets-backend-access-497792-4.jpg" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="640" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhf1hVMXOCUzp0O7T3P-_vTUiqnL2p1-PkVbALljuhJTaGFrR_PtxBwqyZid-gZsk0VgcGAA0MBC7bn2UlYFpsbKcjO2UCcnTLSpe8fnUadQy5ABld177SDZympwD8GiwPakXDWU5dqpaxU/s640/researcher-hacks-instagram-gets-backend-access-497792-4.jpg" width="488" /></a></div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
<b><span style="font-size: medium;">FACEBOOK MERESPON ISU ANCAMAN TERSEBUT</span></b></div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Mengutip dari <i>THN</i>, setelah publikasi asli oleh sang pakar 
keamanan, Facebook mengeluarkan tanggapannya, mengatakan adanya klaim 
palsu dan Weinberg tidak pernah diberitahu untuk tidak mempublikasikan 
temuannya, bukan hanya diminta untuk tidak mengungkapkan informasi 
non-publik yang diakses. </div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Raksasa media sosial membenarkan adanya bug RCE dalam domain 
sensu.instagram.com dan berjanji memberikan $2.500 sebagai hadiah untuk 
Weinberg dan temannya (yang awalnya mengatakan bahwa server dapat 
diakses secara terbuka). </div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Namun, kerentanan lainnya yang memungkinkan Weinberg untuk mendapatkan 
akses ke data sensitif tidak memenuhi syarat, dengan Facebook mengatakan
 ia melanggar privasi pengguna saat mengakses data.</div>
<div style="text-align: justify;">
-----</div>
<div style="text-align: justify;">
</div>
<div style="text-align: justify;">
Sepertinya memang ada ancaman dari pihak facebook yang ditutup-tutupi 
oleh pihak facebbok sendiri karena ancaman mereka telah terekspos ke 
publik.</div>
<div style="text-align: justify;">
</div>

Hacker Berhasil Masuk ke Layanan Instagram Melalui Kerentanan RCE

Wesley Wineberg , seorang peneliti keamanan independen yang berpartisipasi dalam program pencarian bug Facebook, berhasil mencrack pertah...