$7,700 за уязвимость в
Twitter
А если точнее, за уязвимость в его
API. Разработчики приложения
с весны 2020 для некоторых стран проводили публичное тестирование нововведения под названием
Fleets - историй из
Instagram, но с другим названием.
Все шло хорошо, большинство ошибок должны были быть исправлены, однако осенний релиз в Японии
10 ноября заставил неравнодушного
японского рисерчера на следующий день (когда пришло обновление на смартфон) взяться за
apktool,
dex2jar и
CFR.
Он декомпилировал, а затем и деобфусцировал свежий
apk-билд, прошелся по нему grep'ом, чтобы найти файлы, в которых встречалось бы слово
fleet. И в одном из них он обнаружил запрос на
/fleets/v1/create, который, как вы уже догадались, отвечал за создание флитов, а затем обратился к нему с токеном, разрешающим только чтение.
Fleet создался, репорт в тот же вечер написался, деньги отправили и дисклоузнули вчера.
