網絡安全賞金獵人平台 HackerOne 有好消息宣布,旗下其中一位賞金獵人 Cosmin Lordache 所獲得的總賞金衝破 200 萬美元,成為平台排名第一的獵人。最令人振奮的是距離他突破 100 萬美元關卡,僅僅用了 334 日!錢途無限呀! HackerOne 是一個雲集道德黑客 (ethical hacker) 的集團,專門發掘高科技公司的安全漏洞,而與平台合作的政府機構及高科技企業已達過千間。只要旗下黑客發現到這些企業的安全漏洞,一經核實,機構或企業就會按約定派出賞金,而 HackerOne 旗下的賞金獵人 (Bug…
Search Results: HackerOne (10)
今年 7 月,有黑客先後在暗網出售 twitter 用家帳戶資料,其中一個資料組合涉及的用家數量更多達 540 萬個!專家估計黑客是趕在 twitter 的漏洞被堵塞前,大量收集用家資料。事件近日又有新進展,有黑客免費上載一個同樣有 540 萬 twitter 用家的資料組合,如果屬於同一數據,內裡便會有名人明星的電話、電郵等資料。 twitter自從被全球首富 Elon Musk 收購,負面新聞不斷,最新消息是有黑客於著名的資料外洩討論區 Breached 上,免費上載 540…
美國國土安全部 (The Department of Homeland Security) 去年啟動 Hack DHS 賞金獵人計劃,以賞金邀請有能之士找到系統的安全盲點。計劃執行近半年,DHS 方面公布已堵塞 122 個安全漏洞,當中有 27 個屬極危險級別,而整體只發放了 12.5 萬美元獎金,可見這類賞金獵人計劃的性價比極高。 針對他國發動網絡攻擊,藉此窒礙敵國的經濟發展或刺探政治軍事機密,有時比起派間諜執行更有效率。作為全球最大影響力的美國政府,單在去年已多次指控俄羅斯政府放任黑客集團攻擊,對美國市民造成能源短缺、大量企業受到勒索軟件攻擊等後果。而為了加強國家網絡安全防禦力,美國聯邦政府曾發出行政指令,要求各政府機關盡快堵塞系統漏洞,並發出指引要求各部門執行。 不過,要找出系統漏洞,單靠部門內的專家未必可行,最有效率的方法是邀請外人調查,過程才能做到不偏不倚,探查能力甚至會更大。有見及此,美國國土安全部便於 2019…
應用程式在發布時不免有漏洞,因此不少大企業都設有獎金制度,鼓勵一眾「漏洞獵人」回報發現。最近 Zoom 公布,在 2021 年共向一眾研究人員發放漏洞賞金共 180 萬美元;該計劃自啟動以來已獎勵 240 萬美元。 這個漏洞賞金計劃歡迎所有人提交漏洞報告,並為企業組織改善其安全狀況的重要方法,因為該行業人才短缺,難以發現所有出錯。據估計,到 2025 年時,僅在美國已有大約 350 萬個相關職位空缺,在沒有更多專家產生前,企業通常不能單靠內部安全團隊,因為他們的工作量已經很多。所以漏洞賞金就發揮其作用:鼓勵外部研究人員和漏洞獵人對軟件和服務進行測試,並報告所發現的任何嚴重安全問題,再以獎金作為回報。 由於疫情和禁足措施在各國實施,在家工作成為大勢,而Zoom 提供的視像會議軟件服務的用量爆炸式增長。在這情況下,用戶快速增長就突顯了須迅速解決安全問題的重要性。Zoom 的主要項目屬私有性質,但該平台亦積極招募安全研究人員,超過 800 名研究人員參與了由 HackerOne…
上星期,我們的黑客吹水 WhatsApp 群組中,有人提到 IKEA 電腦系統 Down 了,線上線下的營業停頓。之後,有客戶問我知不知道原因,我猜想不是 DDOS 攻擊就是勒索軟件 (Ransomware) 攻擊;後來停一停,再想一想,如果是 DDOS,我個 ISP 老友文公子,一定在 FB 公布香港這幾天的 Internet 流量分析,說明應該不是 DDOS,所以我猜應是勒索軟件作祟。在疫情新常態下經濟下滑,很多公司會收縮投資或減少開支,IT 部門常成為被開刀的對象,網絡犯罪組織在疫情也要吃飯,WFH 帶來的資訊安全風險增加,在限聚令和配合政府的呼籲下,很少公司會在疫情期間,安排 Security Awareness Training…
「重賞之下必有勇夫」這句說話可謂世界通行,有黑客組織早前就在俄羅斯一個地下討論區,以 11.5 萬美元獎金,邀請有才之士提供針對加密貨幣 (cryptocurrency) 及攻擊相關技術的可行方法,包括挖礦工具、智能合約及非同質化代幣 (NFT) 等等。比賽將於 9 月 1 日結束,不過主辦方現時已收到不少「學術」研究。 集思廣益是其中一個搵出漏洞的最佳方法,白帽黑客界亦有採用這種方式,當中以 HackerOne 賞金獵人 (bug bounty hunter) 平台最有名氣,旗下擁有約 60 萬會員,成員更來自全球 170 個地區。上年其中一個會員…
開呢個題,係因為美國最近熱爆討論黑客社群 Anonymous 喺警暴事件上嘅參與,佢哋兩度攻陷州警網站,有網友就延申到正邪黑客之分。我哋之前都曾淺談過 6 種黑客:紅、藍、綠、灰、黑、白,當中以灰帽黑客最具話題性,而 Anonymous 就係表表者。想知紅藍綠嘅定義,請回顧舊文,呢篇深入少少講灰黑白。 早喺 1960 年代,MIT 已經 Hackers 輩出,當其時字義等如電腦神童,同一部電腦,Hackers 可以逼出系統絕對領域,能人所不能。不過當時連電腦概念都未普及,Hacker 只屬小圈子詞匯。到咗八九十年代,黑客傳說開始流入民間,但相關報導大部分同犯罪有關,諸如非法闖入政府系統、轉售個人資料等行為,令大眾對黑客留下壞印像,直至最近資訊保安受到重視,大家開始嘗試全面理解黑客嘅種類。 白帽 白帽黑客透過自身技能,同企業、國家、資訊保安等機構合作,施展混身解數監測堵塞網絡保安漏洞。白帽黑客講求原則,擁有高尚情操,絕不會犯法或惡意攻擊競爭對手,總之道德先決,HackerOne 社群同資安企業 In House…
賞金獵人平台 HackerOne 與 Verizon Media 聯合舉辦嘅 Cyber Security Events & Conferences,本來預計今年 3 月喺新加坡舉辦,但受疫情影響,大會唯有改喺網上進行。活動共有來自 13 個國家嘅 50 個黑客參加,喺為期 13 日嘅活動內依然盡興,兼且打破唔少紀錄,一眾白帽黑客更響應 HackerOne…
疫境下全球失業率急升,但有幾個行業不受影響,如常運作,其中一個就係協助堵塞網絡保安漏洞嘅白帽黑客。 講到黑客,好似一定犯法,其實不然。有道德嘅一班高手,選擇向網絡保安服務商舉報漏洞,以前可能當響朵贏得一官半職,隨著網絡安全得到重視,賞金平台 HackerOne 開張大吉,一班白帽黑客就可以靠賞金過活。係咪好想知點樣入行?賞金行情?由曾黑入美國政府嘅 Tommy DeVoss、由程式員轉職嘅 Cosmin、HackerOne 首位累計過百萬美元賞金嘅 Santiago Lopez,三位全職賞金獵人向大家披露入行心得。小編將之總結成以下 5 大重點。 實質工作流程係點先? 要睇大量文件、熟用 Burp、Sublist3r、dnscan,亦要開發個人工具、不斷吸收最新網絡保安資訊、寫報告、搵出自己擅長嘅保安範疇與策略等。技巧方面,唔可以只參考一個黑客嘅工作方式,要喺唔同人身上偷師,融會貫通,建立個人風格。呢份工好花時間,有時埋門一腳會被人截糊,第 2 名係一蚊都分唔到,所以唔好以為真係篤吓電腦就有錢袋咁 naive,真係要有興趣「捉蟲」,保持好奇心,享受破解嘅快感,唔好下下用錢衡量付出。 收入有幾多? 一個有料嘅白帽,每星期做…
呢個世界好難有完美嘅事,就算你砌咗隊好勁嘅班底去搞 app,出嚟嘅製成品都總會有瑕疵。不過,其實大家都接受晒啲 app 有 bug,最重要係開發商反應夠快兼唔好推三推四,先至唔會釀成關公災難! 講緊嘅係 Uber,呢間今年 IPO 集資最多嘅創科企業,絕對有資格請最好嘅工程師同埋程式員去做好隻 app 啦,但係都唔保證唔會出事,好似 2016 年 Uber 已經衰過一鑊,將幾百萬司機同乘客嘅個人資料外洩,結果要賠成 1.48 億美元先平息到件事,但賠錢事小,商譽受損事大,當時行政總裁 Dara Khosrowshahi 就話會積極補救,去挽回顧客信心。 當然啦,呢啲門面說話係…