🙂 Как угнать тачку через admin:admin Тут размотали инфраструктуру сразу двух крупных автобрендов (названия скрыты, но масштаб понятен). В итоге можно было угнать ЛЮБОЙ аккаунт автовладельца и через API отпирать двери, заводить двигатель и трекать локацию тачки. Как это работало: 🟢Автопроизводители юзали ForgeRock (OpenIDM + Access Management). Админки были закрыты WAFом, который блокировал прямые запросы, но внезапно пропустил слепленный URL: /static%2f..;/system%2fconsole;/bundles/.json. WAF подумал, что это запрос к статическому файлу, и пропустил его, а бэкенд схавал и выдал доступ к консоли. 🟢Пароль от админки был admin:admin. 😂😂 Классика, которая никогда не стареет! 🟢Через консоль смогли загрузить свой Java-код и получить шелл на сервере авторизации. 🟢Имея шелл, они вытащили креды внутренней БД OpenIDM и смогли менять почту и пароль ЛЮБОГО пользователя. 🟢Зайдя в аккаунт под измененными данными (и перехватив PUSH через подмену ID устройства), хакеры получали полный доступ к функционалу приложения владельца тачки. Баг уже пофиксили, но осадочек, как говорится, остался. Раньше для угона нужна была фомка и программатор, а теперь curl-запрос и admin:admin Типичный 🥸 Сисадмин