Thiếu niên hack cơ sở dữ liệu Microsoft chứa 17 nghìn tỷ hàng và 25.000 tài khoản nhân viên

Tóm tắt nhanh

• Một thiếu niên biệt danh Faav đã xâm nhập nền tảng analytics nội bộ của Microsoft tên Titan và truy cập dữ liệu nhân viên.
• Faav phát hiện một endpoint /v2/Query không yêu cầu xác thực và chấp nhận truy vấn SQL thô, cho phép truy vấn trực tiếp cơ sở dữ liệu.
• Anh dùng công cụ AI tự tạo Antares để quét subdomain và tìm file Swagger/OpenAPI, rồi dùng Wayback Machine để lấy cấu hình Apache Superset mô tả 56 bảng.
• Ban đầu endpoint từ chối do thiếu JWT, nhưng Faav nhận thấy chữ ký số của token có vẻ không được kiểm tra và giả mạo token quản trị để vào hệ thống.
• Một lệnh SHOW DATABASES tiết lộ 25.000 bản ghi dữ liệu nhân viên cùng nhiều bảng tổ chức, dashboard và chart.
• Faav đếm tổng số hàng truy cập được và báo cáo có khoảng 17 nghìn tỷ (17 trillion) bản ghi trong các bảng mà anh có quyền truy cập.
• Sau khi báo lỗi cho chương trình bug bounty của Microsoft, Faav nhận được khoản thưởng $5,000.
• Faav nói Antares làm 10 ngày công quét tự động và một trực giác con người là yếu tố then chốt để tìm ra lỗ hổng.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.