[유머] 카카오톡에 치명적인 취약점 제보한 독일인 후기

[도미튀김]

출처 : https://www.dogdrip.net/566241956

[고기만두만취급함]

돈 안주려고 발악을...

[비추수집기]

언제까지 동전짤짤이 장사할건지...
아니 생각해보니 이놈들 해외 진출 생각이 없으니 그렇군

[俠者barbarian]

카카오 인프라 사업을 나라에서 이런저런 특혜를 준 것도 해외진출을 기대한 것이었지만, 현실은 국내 골목상권 털어먹기 엔딩이었지

[루리웹-9248332665]

킹치만 해외 진출해서 '라인'당해도 입 꾹 닫고 구경만 하는걸

[큐베]

저런걸 발견 할 줄 아는 실력자들을 적으로 돌리다니
스게-

[Shiny Breeder]

해킹해줍쇼 하고 도발하네

[루리웹-0176802853]

진짜 근시안적이네
이렇게 대우하면 다음부턴 찾아도 악용할텐데

[파워루리루리]

화이트 해커는 악용하지 않습니다.
다신 버그 리포트를 이제 안해 주고 한국it회사에 부정적인 이미지가 널리 퍼질 뿐이죠.

[루리웹-7458648725]

화이트 해커만 취약점을 찾을 수 있는 건 아니니까..

[세상은넓고 찍을건많다]

다음 새끼들 E메일에 우표 붙여 팔아먹을 궁리 하다 사업 쳐 말아먹고 네이버에 시장 뺏긴거 떠오르네
시즌2냐?

[파워루리루리]

그래서 다음은 카카오에 먹히고 카카오가 이제 ㅋㅋ

[루리웹-2133574527]

신토불이 ㅇㅈㄹ

[나자렛 몽키스패너]

자국에서도 부정적 이미지가 늘고 있는 와중에 해외에서도 저러는거 보면
안에서 새는 바가지 그 자체

[마레노]

안에서 새는 바가지 밖에서는 안팔린다

[뱃살이사료맛]

회사 단톡방 으로 카톡만 안쓰면 진작에 내다 버렸을텐데 ㅉ

[빛벼림공허]

ㄹㅇ루다

[휴시트]

독과점의 폐해

[일로와라]

와 상도덕도 없는 놈들

[맘마통]

ㅂㅅ 카카오

[St-39]

근데 링크 하나로 털어먹을 수 있을 정도면 카카오보안은 진짜 허벌인거 아님?

[俠者barbarian]

[루리웹-6142678327]

그래도 은행보다는 나은 듯 ㅋㅋㅋㅋㅋ 요즘 스팸문자 미친 둣이 옴

[은까냥]

사실 웹에 연결된 외부 링크는 다 위험한거라 링크 하나라는 거 자체는 문제가 안되긴하는데
진짜 문제는 별도의 추가 인증 없이 카카오톡 인증 정보가 다른 웹 연결로 리다이렉션 된다는 점일겁니다.

[lRAGEl]

요즘 자1살 버튼 누르는데가 많아졌냐

[1UP]

왠지 한국인이였다 해도 핑계되면서 안줬을꺼 같다

[타임]

저거 뒷구멍으로 일부러 만들어놨던거 아녀…???ㅆㅂ

[俠者barbarian]

메이비?

[egloos]

취약점은 조치되었다곤 하고
그래서 깃헙에 기본 원리 공개해놨네

[해물삼선짬뽕]

아니 카카오 미쳤나

[U4M5P]

네이버 라인 보호해야되는데…

[루리웹-5146079147]

저 ㅆㄹㄱ들은 돈도 많으면서 왜그러는거냐

[루리웹-0224080086]

졸부새끼들 마인드는 역시 ㅂㅅ수준을 벗어나지 못하는구나

[황무지구직자]

아군 만들 시간에 적을 더 만들고 있네
빡대가리들

[♥암거너맥큐어전립선 큥큥♥]

덩치만 디룩디룩 크고 하는짓은 좃소

[쁘띠스머프쨩]

ㅋㅋㅋㅋㅋㅋㅋㅋ포인트로 1원 주는 것도 아까워하는 놈들인데 무슨 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[Raven92]

취재가 시작된다

[은까냥]

취약점은 둘째치고 깃헙 링크 들어가서보니 ㄹㅇ 응답 pdf에 버그 카운티 정책의 대상이 한국인 뿐이라 때문에 안 준다네 ㅋㅋ

[St-39]

전세계에서 피드백 받는게 좋을지, 국내에서만 피드백 받는게 좋을지 생각해보면....
그냥 근시안적이고 ㅂㅅ같은 판단으로 밖에 안 보임.

[woojinss]

저 큰 회사가 그 돈 얼마나 한다고 저러냐

[매실맥]

개인정보 수집이랑 보안도 그렇고 무유료 무광고 공약을 안지킨것도 그렇고 통신감청영장도 없이

스리슬쩍 여가부에서 채팅방모니터링 한것도 그렇고 카톡이 광고없는 무료앱이라 국민 앱이 되었지만 문제는많지

[킁카킁카.]

앞으로 버그제보없이 치명적인 버그로 훅갔으면 좋겠는데..ㅎㅎ

[알봇]

털릴일만 남았네 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[Leanne]

제보받기 전부터 정책이 그랬으니 어쩔수 없다만 요즘시대에 굳이 정책을 한국인 한정으로 했어야 했나..
외국인한테 공격해달라고 선전하는 꼴이네

[파피프페포]

진짜 ㅄ 같은 회사

[wdsasd]

네이버는 이번에 미국상장 한다는데 카카오 이새끼들은 외화 벌어올 생각이 없음

그냥 방구석여포짓이나 하는데 이런 기업을 국가가 도와주는게 말이되나

[ceramic]

너는 누구냐~♬ 나는 누구냐~♪ 신토불이~ 신토불이~ 신토불이야~♬

[마시멜로☆]

근데 저 토큰이 뭔데 털린거지
설마 bse64 디코딩 하면 비밀번호 나오는건 아니겠지

[은까냥]

OAuth방식의 인증 사용하면 인증/인가 정보 보낼때 웹 요청의 authorization 헤더에 여러 정보를 합친 후 인코딩한 토큰 값을 보냅니다.
이게 원래도 인증 뿐만아니라 권한도 들고 있어서 다른 것들이 다 되어요.
본문 보니 저분은 저 토큰 탈취로 카카오톡 메일 계정 탈취 및 새 비밀번호 등록과 기기 등록까지 했다고 하네오.

[마시멜로☆]

저는 신기한게 토큰 하나 알았다고 기기가 뚫리는게 말이 되나 싶어서요
보통 복호화 키 모르면 토큰 자체가 인가가 안될건데
저 화면만 보고는 정확히는 모르겠지만 뭔가 다른게 있나해서요

[닉뭘로하지?]

그쵸 토큰값만가지고 뚫리는것자체가 이상한거죠. 시연영상도 보면 탈취하는 중간과정이 빠져있어서 그걸 빼고 공개한 걸수도있지만 중요한 부분이 빠진만큼 구라 일 수도 있을 것 같아요
애초에 아이디를 미리 입력해놓고 하는 시연이라니 내가 이미 아이디를 알고있는 상태에서 시연 한다는 의미인건데 어이가 없죠

[닉뭘로하지?]

아 말 하나 정정하겠습니다 토큰값만 가지고 뚫리는 건 가능한데 대비를 아예 안했을때 기준이고 요즘은 어지간하면 유효시간 같은 다른 부가 조치가 있어서 그거 때문에 안되고 카카오도 그런 시스템이 되어있는걸로 기억하고있습니다 한 8년전쯤에 이거 관련해서 이슈있었거든요

[마시멜로☆]

제일 이해안가는 부분이 토큰 값으로 어떤 요청을 뚫었으면 이해가 가는데
토큰값 안다고 비번을 어떻게 안건지 영상에 안나와서요
편집된건지 구라인건지 모르겠네요 ㅋㅋ

[닉뭘로하지?]

일단 댓글들 보니까 비번을 안게 아니라 접속권한 탈취해서 그 계정으로 접속하고 비번을 수정해서 그 비번으로 접속 했다는 건데 이거자체는 자동화툴 만들어 놓으면 되요. 근데 시연에 그 장면이 별도 툴로 오거나 시연에 나온툴에 나와야 정상인데 그 장면이 전혀 안 나와있고요 그 탈취하고 비번이 바뀌면 그 순간 접속자 접속도 끊겨야되는데 저툴에 화면 변화는 없고 go ahead라고 답변까지 하고 있어서 저는 구라같네요

[닉뭘로하지?]

아 앞에 된다는건 물론 저걸로 세션탈취가 됐다는 전제하입니다

[마시멜로☆]

화이트 리스트 링크도 아닌 아무 링크에 인증관련 토큰을 보냈다는거 자체가 말이 안되보이고
저도 조작영상 같아 보여요

[엄마쟤또흙먹어]

내가 다 쪽팔리네 돈 없지 않다며 쥰내 쿨하지도 않네

[나크]

카카오가 카카오했는데 무슨 문제라도?
ㅋㅋㅋ

[흥미롭네요!]

카카오톡에 치명적인 취약점 제보한 독일인 후기 ///
외국인 보상없

[훈타쿠]

본문만 봐도 꼬라박는 기업에는 이유가 있다.
적어도 올해는 어디까지 꼬라박나 궁금...

[Kore]

우리가 롯데를 왜 싫어하는데
그 지랄 거의 똑같이하는 카카오를 왜 가만히 냅두는지 이해가안됨

[kms0510]

왜 자기들 토큰을 남의 사이트에 퍼주지;;

[루리웹-1780924667]

역시 갈라파고스 ㅋㅋ

[창호G]

내부고발해도 고발자가 조옷되는 나라에서 어찌보면 당연한듯...

[닉뭘로하지?]

저거 시연이 좀 이상한데요? 실제 보낸거에서 중간 과정 빼고 올린거겠죠? 인증 값을 빼서 적용시킨거면 비번을 바로 입력하는게 아니라 세션값 변경해서 권한 탈취한다음 그 계정권한으로 접속하고 아이디 확인하고 비번 재설정하는거까지 보여줘야되는데 그 과정이 전혀 안보여서 저 화면은 그냥 내가 비번 알고 있는 계정 그냥 입력해도 되는거거든요 만약에 저 화면대로만 보여줬다면 저 같아도 탈락시킵니다
저 값은 그냥 상용툴만 가지고도 충분히 볼수있는거고 저거 자체가 암호화 된거라 토큰값이 노출이 되는 것 자체는 문제가 없어요

[S.Stern]

출처에는 상세한 내용들이 있는걸보니 딱히 가짜라거나 그런것도 아닌거 같은데여

[닉뭘로하지?]

저 상세한 내용보고 하는 말입니다 출처 보니까 지금은 막혀있다고 하는데 그러면 같은환경 테스트도 안 될거고요
원래부터 보안 설정이 되어있었을 경우에도 저 내용대로 해도 중간에 막혀서 안 됩니다. 영상에는 보안 설정되어있으면 막히는 부분을 생략하고 올렸어요.
저거는 걍 제가 아이디 비번 알고있는 2번째 계정만 있으면 토큰값 구하기 힘들면 가라 쳐서 누구나 저 영상대로 시연가능합니다.
토큰도 취득한게 엑세스 토큰이라고 말하는데 실제로 엑세스 토큰가 맞다면 가능할 수 있는 영역인데 리프레시거나 구라일수도있는데 그걸 판단할 수 있는 부분이 안 나온 부분이고
토큰값 먹은거랑 별도로 저 토큰값으로 제가 그 사람 행세를 했을 때 서버에서 검증단계에서 컷이 될 수 있기 때문에
중간단계가 안 보이면 그 사실 여부를 판단 할 수 없어요
출처에도 burp사용해서 비번 변경한다는 내용이 나와있는데 그 부분이 영상에서 완전 누락되어있죠 그래서 카톡에도 영상만 저렇게 보냈으면 저같아도 탈락시킨다 이겁니다
물론 보낸게 영상뿐만 아니라 다른자료도 있고 영상으로 남기기에는 너무 크리티컬 한 부분이라 일부로 누락한 거고 카톡팀에서 그 내용으로 테스트를 해서 고치고 먹튀했을 가능성이 있지만[그리고 카톡 하는 짓 보면 실제로 그랬다고 해도 믿을만 하지만]
중간에 중요한 부분을 누락 했기때문에 주작으로 돈 요구하려고 저렇게 올렸다고 의심할 여지 또한 있다는 말이죠

[닉뭘로하지?]

비유하자면 공개된 논문대로 했는데 비슷한 재현 안되는 초전도체[초전도체는 재현이라도 됐는데 이건 패치해버려서 그것도 안 되는]
같은 상황이에요

[닉뭘로하지?]

누락된 부분을 가지고 있어서 그걸 올리거나 아직 공개안한 다른 취약점이 있어서 그걸 공개해야 사실 낙점받는 그런 상황