Франкенсерт. Как стать гендиром, имея мобильное приложение и ОTP уборщицы

Внеш­ний наруши­тель мог исполь­зовать баг в API мобиль­ного при­ложе­ния, имея валид­ную пару из логина и OTP любого сот­рудни­ка ком­пании, для выпус­ка сер­тифика­та на любого дру­гого сот­рудни­ка.

Вы­пущен­ный сер­тификат содер­жал информа­цию об обо­их сот­рудни­ках и поз­волял получать дос­туп к одной час­ти веб‑ресур­сов от лица жер­твы фишин­га, а к дру­гой час­ти немало­важ­ных ресур­сов — от лица работ­ника, который свой OTP никому не рас­кры­вал.

Пример эксплуатации

На­чалось все с того, что я пошел гуг­лить кор­поратив­ные при­ложе­ния орга­низа­ции. И сра­зу нат­кнул­ся на один инте­рес­ный пор­тал.

Как потом выяс­нилось, он дол­жен был откры­вать­ся стро­го при наличии сер­тифика­та, но эта про­вер­ка не работа­ла, из‑за чего зай­ти на пор­тал мог любой жела­ющий.

Вклю­чив в бра­узе­ре режим адап­тивно­го дизай­на, я нашел пря­мую ссыл­ку для ска­чива­ния кор­поратив­ного мобиль­ного при­ложе­ния и без проб­лем ска­чал файл APK на свой компь­ютер.

Для руч­ного ста­тичес­кого ана­лиза APK я исполь­зовал jadx и сра­зу отме­тил для себя, что при сбор­ке мобиль­ного при­ложе­ния обфуска­цию не исполь­зовали, — это силь­но облегчи­ло реверс.

Про­бежав­шись гла­зами по коду и исполь­зуя филь­тры для поис­ка по клю­чевым сло­вам, я опре­делил, что для аутен­тифика­ции в при­ложе­нии поль­зователь вво­дит свои логин и OTP.

Сле­дующим шагом я нашел конеч­ную точ­ку, куда мобиль­ное при­ложе­ние отправ­ляет учет­ные дан­ные поль­зовате­ля.