ФЕЛ проводит среди школьников квест на безопасность интернет-приложений

На этой неделе на встрече научно-исследовательской группы наш научный руководитель, зам. декана, рассказал о проводимом на Facebook под девизом «Узнай, чему тебя научат на ФЕЛ» забавном конкурсе для школьников на знание безопасности интернет-приложений. Главный приз — iPad mini.

Приступить к тесту можно на apps.facebook.com/bezpecnost/.

Идея отличная, даже мне было интересно посидеть полчаса над задачками и без особых затруднений дошел до 6 уровня. На каждую задачу дается ответ в виде строки. Обычно дается подсказка от хакера в углу экрана.

В переводе на русский задачи следующие:

1. Ты нашел в Интернете приложение, использующее авторизацию с помощью логина и пароля. Приложение плохо защищено и ты хочешь показать, как можно получить логин и пароль для входа в защищенную часть приложения и обратить на это внимание разработчика.
   • Подсказка: В первую очередь внимательно прочти исходный код страницы. Это должно быть первым шагом при тестировании угроз.
   • Полезные навыки: Основы HTML, внимательность.
2. Один из учеников из другого класса создал сайт для своих одноклассников. Сайт содержит материалы, которые могли бы тебе помочь в учебе в школе, но он не хочет давать тебе доступ. Соответственно, ты решил узнать, какой пароль требуется для доступа к документам.
   • Подсказка:Все выглядит так, будто разработчик допустил элементарную ошибку при разработке авторизации.
   • Полезные навыки: HTML, знание принципов работы веб-форм
3. Ученик из предыдущего задания в конечном счете решил, что защитит свой сайт лучше и в конечном счете кроме прочего добавил функцию, которая на эл. почту администратора приложения отправляет забытый пароль. Но даже теперь не защищена хорошо и ты решил вновь узнать пароль. Методом перебора ты узнал, что логин — admin.
   • Подсказка: Ты обнаружил, что пароль отправляется на адрес administrator@example.com. Если бы тебе удалось подменить адрес электронной почты, то смог бы легко получить пароль.
   • Полезные навыки: HTML, знание принципов работы веб-форм
4. Твой опытный друг обнаружил, что ты интересуешься тестированием безопасности сайтов, показал тебе сайт со слабой безопасностью и предложил тебе, что можешь попробовать получить пароль для доступа к приватной части сайта. Ты с радостью его предложение принял.
   • Подсказка: Где-то подобное окно я уже видел. Видимо, речь идет о JavaScript-функции prompt().
   • Полезные навыки: HTML, JavaScript, основы программирования
5. Ты исследовал безопасность сайта и обнаружил, что в качестве защиты использовано шифрование, которое определенным способом шифрует пароль для входа в приватную секцию сайта. К счастью, тебе удалось получить зашифрованный пароль, «hAsUHvvbRXuvHOI», остается его расшифровать. Оказалось, что использованная для шифрования программа общедоступна, поэтому можешь использовать его.
   • Подсказка: С помощью программы можешь определить механизм поведения алгоритма и, соответственно, в конечном счете расшифровать пароль.
   • Полезные навыки: Основы шифрования, терпение.
6. Ты теперь перед следующим способом обезопасить закрытые части сайта. Компании недооценивают аспект безопасности, поэтому возможно получить доступ к клиент-центру и в том случае, если не являешься клиентом фирмы. Найди способ, как обойти систему авторизации и обратить на это внимание фирмы.
   • Подсказка: Я испробовал всевозможные способы обхода авторизации, но мне ничего не удалось.
   • Полезные навыки: Поддержка веб-приложений, JavaScript, инструменты для разработчиков

К сожалению, в правилах проведения указано, что победиль должен быть учеником средней школы и иметь возраст от 15 до 20 лет. К сожалению, мне за iPad биться бесполезно.

Буду рад, если в комментариях выложите остальные задачки, на русский я могу сам перевести.