Дырявый титан

Школьник получил доступ к базе данных Microsoft с 17 триллионами строк и 25 тысячами учётных записей сотрудников.

В перерывах между уроками 16-летний подросток взломал аналитическую платформу Microsoft Titan с помощью самодельного ИИ-бота Antares.

Плод его труда нащупал поддомен Azure с файлом Swagger, где один из четырёх маршрутов не требовал авторизации и принимал голые SQL-запросы. В архиве Wayback Machine он нашёл старую страницу входа с конфигом Apache Superset, там была расписана вся схема БД из 56 таблиц.

Когда ИИ-бот пытался подобрать JWT, атакующий выяснил, что сервер сканировал содержимое, но не проверял цифровую подпись. Юный хакер вписал в липовый токен слово «admin», получил права суперпользователя и возможность выкачивать БД с SQL-запросами.

Внутри оказалось 17 баз с 17,3 триллионами строк. Сам парень уверяет, что он ничего не воровал, а глянул образцы и написал в Microsoft. За эту инициативу Microsoft заплатила школьнику $5 тысяч.

НеКасперский