Re: [討論] 如何最大化工作成果?

※ 引述《Voltaire3756 (Voltaire_young)》之銘言：
: 各位大大好
: 小弟是名懷抱著資安夢的韌體仔
: 最近在工作中發現一個目前尚未被揭露的系統底層資安漏洞
: 因希望有朝一日能轉換跑道至資安領域
: 希望能將此次發現轉化成小弟在資安領域的敲門磚
: 故發文詢問各位大大意見
: 感謝各位大大，感激不盡
: 小弟對於資安的理解，對某些大大而言非常外行
: 如果以下內容有任何錯誤 或 令您啼笑皆非的想法
: 希望大大手下留情，別鞭得太重QQ

因為資安領域的範圍滿廣的，各種工作的差異性不小
不過原PO看起來應該是對漏洞研究這塊有興趣，
我應該還是可以提供一些個人經驗和主觀看法XD

: =====資安漏洞=====
: 模組A 先前被通報存在 漏洞a (CVSS 7.5)
: 模組B 是為了解決 漏洞a
: 模組B 的原理是存取特定資料前，必須先輸入密碼以解鎖存取保護
: 小弟發現 模組B 存在 漏洞b
: 利用 漏洞b，可以繞過密碼驗證，強行解鎖並直接竄改管理者密碼
: =====影響層面=====
: 因為小弟成為韌體仔還不到半年
: 只知道好像很多底層參數需要管理者權限才能動
: 但具體可以達到什麼程度，小弟還沒概念
: 目前實驗發現可以開關某些 I/O port 跟 亂改參數導致系統 shut down
: 好像還可以偷塞東西進記憶體，然後引導系統去執行（還在研究怎麼弄）

除了漏洞本身可做到哪些事 (DoS、CE、Leakage...)
它的嚴重程度也會跟攻擊者需要多接近目標有關，
通常來說可以遠程攻擊的話會是比較嚴重的，
但如果需要在本地執行甚至物理上接觸目標那影響就比較小，
這點也可以從 Zerodium 給的bounty看出來 https://zerodium.com/program.html

原PO描述的漏洞至少能DoS，而且看起來有機會做到Code Excution，
如果這個管理介面是可以從遠端碰到的，比方說router在WAN端的登入介面，
那就算是比較嚴重的RCE漏洞了，一般的漏洞回報平台應該都會收

: =====疑問=====
: Q1. 該如何最大限度的確保自己的Credit?
: 以小弟對資安事件揭露機制的認識
: 好像不會紀錄發現者或第一個揭露者的資訊
: 雖然小弟的發現跟去年熱門的"log4j"相比，明顯微不足道
: 小弟想好好抓住此次機會，希望能作為進入資安領域的契機
: 目前還沒有人揭露相關漏洞，擔心拖太久會被人搶先一步

發現漏洞後，一般會希望能拿到一個CVE編號，
雖然CVE ID本身不會揭露投稿人的資訊，但可以附references連結，
這裡就可以連結到跟你有關的資訊

要申請CVE ID，最簡單的情況那個軟體或設備的廠商自己有漏洞回報機制
https://www.cve.org/PartnerInformation/ListofPartners
有些還會有自己的Bounty Program，鼓勵研究人員回報漏洞，
也是有靠獎金就可以養活自己或發大財的傢伙，是誰我就不說了

如果廠商自己沒有的話，還是可以回報給廠商
不過如果想避免各種可能的"麻煩"，那可以直接回報給漏洞回報平台，他們再設法回報。像是趨勢的ZDI，基本上各類型的漏洞都會收，雖然不高但也會有少量的獎金
通過的話，我印象中ZDI會直接幫你送CVE，不用自己填
另外如果標的是在國內的話，可以回報給HITCON Zeroday，
一些範圍比較特定的，像某某學校SQL injection之類的，就可以丟

這兩個平台都可以在官網上查到credit，你可以附在CV裡

: Q2. 該如何在面試時，呈現此次成果呢？
: 主要有兩大顧慮：可信度 & 被告
: 首先是"可信度"問題
: 如果僅以上述"資安漏洞"的內容來描述小弟的發現
: 依照好友反饋，感覺很像是自己瞎掰的
: 再來是"被告"問題

如果廠商有自己的回報機制，只要不違反它的規定 (通常會限制不可以打正在跑的服務)一般來說不會有問題。
沒有的話還是丟平台好了，他們會有完善組織和流程負責被告 :)
有聽說電話來不是要問漏洞細節而是要告人的

也有一些講的很開放，但EULA寫說不可以逆向分析，不知道想表達什麼的
這種就說做夢夢到PoC，到底哪裡出bug給他們自己煩惱就好

: 為了避免讓人覺得小弟在瞎掰的印象
: 勢必得透漏部分細節
: 透漏得越多，被告的可能性越高
: 目前小弟打算錄一小段實機演示影片
: 把過程中跟演示內容無關的部分上馬賽克
: 希望大大們提點需要注意的部分

除非你是Project Zero，家大業大不怕有人來告
漏洞不修? 給你三個月不然強制公開，大家一起來開party
一般做法就是回報 -> 等它修掉 -> (你)公開細節，然後可以發blog、投conference
如果CVE申請是自己填的，也可以附加上去，這樣大家就都知道這是你幹的

: Q3. 如何避免面試官對小弟"誠信度"的疑慮?
: 具規模的公司，通常都會將"誠信度"納入選才評分中
: (還是這只是小弟的偏見?)
: 為了展示此次成果，無可避免地需要揭露一些外人難以得知的資訊
: 然而某某公司內部機密洩漏的新聞時有所聞
: 小弟擔心在展示過程中沒拿捏好尺度
: 會讓面試官心生疑慮
: 這樣就陷入了一個微妙的 trade off
: 說得詳細具體，雖然可信度上升，但會導致個人誠信度下降
: 說得模糊籠統，讓人感覺在瞎掰，直接出局
: (讓人感覺在瞎掰好像也會降低誠信度)

像面試這種場合私底下講講你的發現，我是覺得沒什麼關係，不然無從討論起，
太高調亂搞、弄到上新聞的那種才會黑掉。
漏洞的細節是你的底牌，正常做漏洞研究的人不會沒事去翻它，
反過來想免費釣你情報的公司還是別去吧

你可以分享怎麼發現這個漏洞的、用什麼工具、怎麼去分析，
有經驗的聽了就知道是不是在唬爛

: Q4. 小弟與面試官的認知差距
: 人最害怕的莫過於 不自知 與 自我感覺良好
: 小弟擔心前述所有的擔憂只是自己的一廂情願
: 說不定對面試官而言，小弟的成果微不足道，加不了多少分
: 可能面試官更看重的是近期版上熱門的"刷題"
: 小弟想向有經驗的大大請教
: 如果想進入資安領域，一般面試官最重視的項目有哪些？

以研究員來說，會看你會不會使用分析工具和分析手法
有時候可能給你一個情境問你會怎麼做，做這個看的是你「解決問題」的能力
當然對一般漏洞有哪些型式、利用的方法，還是要有基本的了解
雖然很吃經驗，但不見得一定要有豐功偉業才代表你很厲害，很多強者都是很低調的

CVE、CTF 經驗、投稿這些當然是加分項，不過沒有的話也沒關係
這些只是最容易評估你的能力的一個方式
除了口頭面試，也有可能給個作業回去做

刷題的話... 如果你有 Codeforces、Topcoder、UVa 帳號，
或 Code Jam、Hacker Cup 得名的話就附吧XDDD
畢竟 ACMer 轉 CTFer 都是非常強的，做研究應該也不會弱到哪

不然就去刷一下 pwnable.tw 看看，
不要因為受到打擊放棄走這條路就好...實務上的情況沒那麼難

: 想憑一個小發現來證明自己的對資安領域的嚮往或能力，是否太異想天開了？

資安領域範圍很廣，甚至不見得需要會寫code
我待的公司也有威脅情資分析師是外文系畢業的
雖然比起學生時代會少一些資源能用 (像AIS3這種培訓計畫)
但要轉職也不算晚，個人覺得有興趣就可以嘗試看看

原PO是做韌體相關的工作，想必系統底層、組語之類的都很熟悉吧，
要轉漏洞研究領域，滿多經驗應該都用得上

對了，我不看你拿幾張資安證照
那對漏洞研究一點意義都沒有 :p

--