[PHÂN TÍCH] Vntrip đã lộ thông tin khách hàng như thế nào?

     VnTrip đã lộ thông tin khách hàng như thế nào?
     Đã từng thông báo cho tổng đài bên VnTrip nhưng không nhận được hồi âm. Nhưng VnTrip cũng đã tự khắc phục lại được lỗi trên Server của họ nên cũng rất đáng mừng.
     Bài viết này mang tính chất phân tích để cho các DEV quan tâm hơn về vấn đề bảo mật của Mobile App sau nhiều vụ lộ lọt thông tin trước đây.
     Tiếp tục RE Mobile App của VnTrip download trên apkpure, app này được build cách đây khá lâu từ nửa năm trước.
     Sau khi RE Mobile App của VnTrip (hiện nay vẫn dùng phiên bản App đó) ta sẽ thu được 2 services: 1 là services của User, 1 là service của Admin.    
     Khi các DEV lập trình thường thường sẽ có rất nhiều phiên bản Services khác nhau như: Test, Admin, User... và chúng thường sử dụng một mẫu API chung, có thể Services chính của các DEV sẽ an toàn và được bảo mật nhưng những Services phụ, Services Test,... không được quan tâm đúng mực và những Services như vậy chính là những lỗ hổng giúp các Attacker (Pentester/Hacker) khai thác được những thông tin cần thiết.
     Ví dụ như khi ta sử dụng Django Framework (cái này mình dùng làm đồ án nên hay lấy ra) thì một số chức năng bảo mật thường được disable để cho các DEV dễ dàng hơn trong việc lập trình, nhưng từ những sơ hở đó có thể tạo ra những hệ qủa với Services chính. Services chính mặc dù đã enable những chức năng bảo mật nhưng lại dùng chung API với Services Test nên như vậy các Attacker dễ dàng xâm nhập hệ thống qua các API từ đó truy xuất được những dữ liệu.
     Vì vậy khuyến cáo các DEV nên xử lý toàn bộ các services với các chức năng bảo mật như ở Services chính hoặc có thể xóa bỏ Services Test nếu không cần thiết.
     Trong trường hợp của server T thì từ services Admin ta có thể tìm ra điểm tương đồng ở services User từ đó khai thác và lấy được toàn bộ thông tin Orders.
     Còn việc tìm ra những API, những Directory thì các DEV cũng nên cẩn thận fix từng lỗi một trong những dòng code của mình và pentest thật kỹ lưỡng trước khi đưa ra thị trường. Nên sử dụng các token, sessionession hợp lý trong từng sản phẩm của mình.
     Bài tiếp theo là một Tools Attack nho nhỏ viết bằng Python rất mong được sự ủng hộ, gíup đỡ của mọi người.