در این بلاگ‌پست، به سراغ یک متخصص تست نفوذ در دنیای امنیت سایبری رفته‌ایم تا با او گپ‌وگفت کوتاهی درباره‌ی تجربیاتش در تست نفوذ داشته باشیم؛  محمدرضا عمرانی (@omranisecurity) 

محمدرضا از 19 سالگی وارد حوزه‌ی امنیت سایبری شده است. سه سال است که در حوزه‌ی تست نفوذ و باگ بانتی فعالیت می‌کند. تمرکز اصلی‌اش بر روی وب اپلیکیشن است. تست نفوذ تیمی را به تست نفوذ فردی ترجیح می‌دهد. در حال حاضر در یک صرافی ارز دیجیتال مشغول به کار است. آرزو دارد که در کامیونتی امنیت سایبری همیشه صلح و دوستی برقرار باشد. 

_ در نگاه شما، تفاوت یک تست نفوذ خوب و یک تست نفوذ بد در چیست؟ 

به‌نظر من، اگر به‌عنوان یک متخصص تست نفوذ در فرآیند تست نفوذ، فقط به بررسی یک‌سری چک‌لیست‌ قدیمی بسنده کنی، خروجی کارت هم معمولاً کیفیت بالایی نخواهد داشت. اگر در کنار این‌که از چک‌لیست‌های مرجع غافل نشوی، سعی کنی مثل یک شکارچی آسیب‌پذیری همیشه دانش‌ات را به‌روز نگه داری (مثلاً رایت‌آپ بخوانی، کنفرانس‌های تخصصی را دنبال کنی، با تکنولوژی‌های جدید دنیا آشنا باشی و مقالات مرتبط را مطالعه کنی) ، آن موقع می‌توانی تست نفوذ خیلی کامل‌تری داشته باشی. از نگاه من، اگر بخواهی در تست نفوذ صرفاً با چک‌لیست جلو بروی، ممکن است مواردی را از دست بدهی. ولی وقتی سعی می‌کنی خلاقیت داشته باشی و با ذهن باز به سراغ هر هدف بروی، احتمال این‌که آسیب‌پذیری‌های جدی‌تری پیدا کنی و عملکرد حرفه‌ای‌تری داشته باشی، خیلی بالاتر است.  

_ بین تست نفوذ تیمی و فردی، کدام را ترجیح می‌دهی؟ 

در حال حاضر ترجیح من تست نفوذ به‌صورت تیمی است، چون فکر می‌کنم که تست نفوذ تیمی فرصت خیلی خوبی برای اشتراک دانش فراهم می‌کند. بر اساس تجربه‌ای که داشتم، کار گروهی تاثیر زیادی بر روی پیشبرد اهداف دارد؛ من به دیگران مطالبی یاد می‌دهم و به همان اندازه از آن‌ها یاد می‌گیرم. برخلاف گذشته که خیلی اهل کار تیمی نبودم و ترجیح می‌دادم همه چیز را به‌صورت فردی جلو ببرم، الان خوشبختانه واقعاً از کار کردن کنار دوستان و همکارانم لذت می‌برم. بازدهی و عملکردم هم نسبت به قبل خیلی بهتر شده است. 

در کار تیمی و تست نفوذ تیمی، ترکیب اعضای تیم خیلی اهمیت دارد. کار تیمی یعنی این‌که افراد با مهارت‌ها، تجربه‌ها و دیدگاه‌های متفاوت کنار هم قرار بگیرند تا به یک هدف مشترک برسند. بعضی وقت‌ها آدم‌ها فکر می‌کنند چون در تخصص خودشان حرفه‌ای هستند، پس در بقیه‌ی زمینه‌ها هم خیلی خوب عمل می‌کنند. اما به نظر من، این‌طور نیست؛ حرفه‌ای بودن فقط به مهارت فنی محدود نمی‌شود. اخلاق حرفه‌ای هم به همان اندازه مهم است. حتی اگر در تخصصت خیلی هم قوی باشی، ولی روی مهارت‌های نرم مثل ارتباط موثر، همکاری و احترام به بقیه کار نکنی، نمی‌توانی از آن مهارت‌ فنی به بهترین شکل ممکن استفاده کنی. 

پیشنهاد خواندنی: هکرهای مختلف، چه ارزشی را به یک برنامه امنیتی جمع سپاری شده می‌افزایند؟ 

_ در بررسی یک سامانه، ابتدا چه می‌کنی؟ 

معمولاً وقتی بر روی یک هدف در باگ بانتی یا تست نفوذ کار می‌کنم، خودم را جای کاربر عادی می‌گذارم و تلاش می‌کنم با تمام فیچرهای سایت کار کنم تا Flow کلی آن را بشناسم. اگر بخواهم از یکی از تجربه‌هایم در یک برنامه باگ‌بانتی داخلی مثال بزنم، می‌توانم به تجربه‌ام از یک وب‌سایت سفارش غذای آنلاین اشاره کنم. با این‌که زمان زیادی برای بررسی آن هدف صرف نکرده بودم، اما خوشبختانه موفق به کشف آسیب‌پذیری‌های متعددی شدم. در طول بررسی، آن‌قدر با مسیرهای مختلف پلتفرم کار کرده بودم که می‌توانستم مثل یکی از اعضای تیم فروش یا پشتیبانی، رستوران‌دارها را برای عضویت در آن پلتفرم راهنمایی کنم. سعی کردم هم به‌عنوان یک مشتری و هم به‌عنوان یک فروشنده در پلتفرم فعالیت کنم. فکر می‌کنم کمتر شکارچی آسیب پذیری‌ای به سراغ پنل فروشنده چنین پلتفرم‌هایی می‌رود، اما من پیگیر این موضوع شدم و از یکی از دوستانم حساب کاربری رستورانش را گرفتم. حتی موفق شدم آسیب پذیری های منطقی‌ای پیدا کنم که احتمالاً از زمان راه‌اندازی آن وب‌سایت وجود داشته‌اند، اما هیچ‌گاه گزارش نشده بودند. در مجموع، هر چقدر شناخت شما از فیچرهای یک هدف بیشتر باشد، تست‌کیس‌های بیشتری نیز برای بررسی دارید، و این یعنی شانس بیشتر برای کشف آسیب‌پذیری. از نظر من، علاقه‌مندی و تعامل عمیق با هدف، می‌تواند تاثیر مستقیمی در موفقیت در باگ‌بانتی داشته باشد. 

_ در تجربه‌ی خود، بیشتر شاهد وجود چه نوع آسیب پذیری‌هایی در سامانه‌ی کسب‌وکارها بوده‌ای؟ 

بیشترین آسیب پذیری هایی که من شکار کرده‌ام، از نوع آسیب پذیری Access Control بوده است. در سمت بخش‌های مربوط به پرداخت هم آسیب پذیری های منطقی بسیاری کشف کرده‌ام. معمولا این روزها در سامانه‌‌ی کسب‌وکارها فیچرهای زیادی وجود دارند، نقش‌های مختلفی برای کاربرانشان ایجاد کرده‌اند و امکان دسترسی‌های زیادی وجود دارد. من شاهد این بوده‌ام که در موارد خیلی جزئی و کوچک، به آسیب پذیری Access Control توجهی نمی‌شود و مغفول می‌ماند. 

_ ممنون که در این گپ‌وگفت همراه ما بودی و تجربیاتت در خصوص تست نفوذ را به اشتراک گذاشتی، محمدرضا عزیز. 

بلاگ‌پست‌های مرتبط:  

تجربیات و نکات تست نفوذ؛ با علی فیروزی 

تجربیات و نکات تست نفوذ؛ با آیلین همایونی 

تجربیات و نکات تست نفوذ؛ با محمدصالح مهری 

تجربیات و نکات تست نفوذ؛ با مجید موسوی