Известный порносайт Pornhub решил предоставить пользователям из Италии бесплатный доступ к премиум-аккаунтам

303

4 года назад

Хакер взломал PORNHUB и продал доступ за 1000$

Хакер, известный под псевдонимом Revolver (или @1х0123 в Twitter), утверждает, что ему удалось взломать серверы Pornhub. Хотя популярный порносайт только на прошлой неделе объявил о запуске собственной программы bug bounty, легальное вознаграждение за уязвимости не интересует Revolver. Хакер пишет, что уже продал кому-то доступ к Pornhub за $1000. Свои твиты на этот счет Revolver сопроводил хештегом #FuckBugBounty.

В качестве доказательства взлома Pornhub хакер опубликовал у себя в Twitter два скриншота, которые можно увидеть ниже.

Свою позицию журналистам издания Vice Motherboard хакер объяснил тем, что в прошлом он многократно сообщал о различных багах компаниям, но его попросту игнорировали. К тому же Revolver признал, что не хочет раскрывать компаниям свое настоящее имя, предпочитая оставаться инкогнито.

С изданием CSO Online исследователь поделился подробностями о проделанной атаке. Он сообщил, что сумел загрузить на сервер свой shell, по сути, использовав его как контрольную панель для отправки команд. Хакер воспользовался некой уязвимостью в скрипте, который обрабатывает загруженные пользователями картинки профиля. Хотя очень похожий вектор атак позволяет осуществить обнаруженная недавно уязвимость ImageTragick, хакер подчеркнул, что к пакету ImageMagick его взлом не имел никакого отношения.

Представители Pornhub сообщают, что проводят собственное расследование инцидента, но заявляют, что непохоже, чтобы кто-то проник на продакшен-сервер.

Отмечу, что Revolver вряд ли лукавит или приукрашивает факты: он известен не одним громким деянием. В частности, недавно он нашел уязвимость на серверах фирмы Mossack Fonseca (той самой, у которой украли «Панамский архив»), позволяющую осуществлять SQL-инъекции. Еще раньше, в апреле 2016 года, Revolver удостоился похвалы от Эдварда Сноудена, за то, что обнаружил XSS-уязвимость на сайте организации Freedom of the Press Foundation. В марте 2016 года именно Revolver запустил сервис VNC Roulette, который в случайном порядке показывает IP и скриншоты рабочего стола незапароленных машин со включенным VNC. Если полистать твиттер исследователя, можно заметить, что помимо этого он находил уязвимости в Telegram, SourceForge, New York Times, Outlook.com, на серверах армии США и НАСА.