Одним из сервисов, предоставляющих доступ к данным Passive DNS, является VirusTotal. Написав небольшой скрипт, который отправляет запросы к API VirusTotal, мы собрали довольно много интересных доменных имен.
Именно в результате сбора доменов с помощью Passive DNS и нашелся тот самый забытый веб-сервис, который впоследствии оказался уязвимым. Доменное имя этого сервиса было в прямом смысле пятиэтажным, условно назовем его так: web1.smth.smth.companyname.com.
Это был самописный сервис мониторинга некоторых других сервисов, на который, судя по логам, последний раз заходили около месяца назад. Доступ к нему мы получили с помощью учетных данных по умолчанию, создали отдельную учетную запись администратора для дальнейшего тестирования и, конечно же, оповестили отдел ИБ заказчика об обнаружении уязвимости.
На следующий день отдел ИБ закрыл уязвимый ресурс, хотя от заказчика в то же время был запрос на продолжение тестирования этого веб-приложения. Что ж, не беда – продолжаем изучать бескрайний внешний периметр.
Теперь один важный момент: перед тем как отдел ИБ отключил уязвимый сервис, мы спарсили все учетные данные пользователей, которые хранились в открытом виде прямо в разметке HTML. Естественно, среди них были и учетные записи администраторов.
Вот, например, как выглядел кусочек списка пользователей: