|
«Получаю до $10 000 в месяц».
Как «русские хакеры» взламывают PornHub и QIWI за деньги– Когда вы начали занимать багхантингом и какую уязвимость нашли самой первой?
– Багхантингом я начал заниматься в 2017 году, когда мне было 18 лет. По сути тогда я толком не знал, что такое информационная безопасность и bug bounty (программа вознаграждения за обнаружение ошибок и уязвимостей — прим.ред.). Однако имел неплохие навыки в программировании и реверс-инжиниринге (разбор готового программного продукта на его составляющие – прим.ред.).
Так, однажды в одной из соцсетей я нашел уязвимость, которая позволяла размещать посты на странице любого пользователя от его имени, но без его ведома. Работала она просто: жертве можно было прислать ссылку, после перехода по ней срабатывал скрипт, и готово – на странице какого-нибудь блогера могло появиться сообщение с любым текстом, который захотел бы разместить атакующий. Таким текстом могла быть как шутка, так и, к примеру, реклама любого товара.
– Правильно я понимаю, что вы «продали» эту уязвимость разработчикам соцсети?
– Да, но случилось это не сразу.
Точнее, я представления не имел, что могу получить деньги за свою находку. Я просто написал об ошибке в техподдержку соцсети, а в ответ получил предложение сообщить об уязвимости через программу bug bounty на платформе HackerOne (самая популярная в мире bug bounty-платформа – прим. ред.). Так я и сделал.
Вскоре мне заплатили за уязвимость $200. Для меня это была огромная сумма. Тогда я еще учился в колледже и жил в общежитии. После этого случая я начал понимать, что такое bug bounty, как на этом можно зарабатывать, как искать бреши и сообщать о них компаниям в соответствии с политикой о неразглашении. У меня сразу появилось желание развиваться в этой сфере.
– Сколько уязвимостей вы нашли и продали на сегодняшний день?
– Больше сотни.
– Что это были за компании?
– Разные. В основном соцсети, интернет-сервисы вроде GitLab и Slack. Много уязвимостей удалось найти в платежном сервисе QIWI. Был даже случай с PornHub.
– PornHub? Простите, не могу не спросить, при каких обстоятельствах вы нашли уязвимость на этом сайте? Пришли как рядовой посетитель и подумали «дай-ка в коде поковыряюсь»?
— Все более прозаично.
Выбрал в качестве цель из общего списка, опубликованного на платформе HackerOne, так же, как это делают все багхантеры, и пошел ломать.
– Можете рассказать, в чем заключалась суть этой уязвимости?
— Хоть эта уязвимость уже и закрыта, подробности я все еще разглашать не могу. Команда программы не давала разрешение на раскрытие ее содержания.
– Сколько вы за нее получили?
— $250.
– Правильно я понимаю, что все уязвимости, которые вы обнаружили стоили около $200?
– Конечно, нет.
В каждой программе bug bounty определен диапазон денежных вознаграждений за найденные уязвимости. Разный тип уязвимостей оплачивается по-разному. Чем опаснее уязвимость и чем больше у нее влияния на продукт, тем больше получит исследователь за ее обнаружение. Как правило, минимальная выплата — $50, максимальная может доходить до сотен тысяч. Сотни тысяч я, конечно, не получал, но больше $3000 было точно.
– Сколько на bug bounty вы зарабатываете ежемесячно?
– Зависит от приложенных усилий и везения.
Если постараюсь, за месяц могу заработать больше $10 тыс., если поленюсь, может выйти и $100.
– Вы работаете где-нибудь на постоянной основе?
– Работаю в одной из ведущих российских компаний в сфере информационной безопасности и багхантинг для меня ― исследовательская работа, которой я занимаюсь в свободное от основной работы время: это интересно, это развивает меня как специалиста и, конечно же, приносит некоторый дополнительный доход, что тоже, согласитесь, неплохо. И когда я говорю о размере заработка на багхантинге, я имею ввиду сумму, которая, конечно же, не включает в себя зарплату.
– Как вас взяли на работу в ИБ-компанию? Вы же хакер!
— Да, хакер, но «белый». Я исследователь безопасности. Опыт таких специалистов, как я, очень востребован на стороне защиты: мы умеем посмотреть на системы любой организации и найти в них те бреши, которые вероятнее всего уже ищут те хакеры, которые нацелены на деструктив. Ну и да, позволю себе минутку тщеславия и скажу, что на работу меня взяли с большой охотой.
В резюме мне хватило всего одной строчки со ссылкой на мой профиль на HackerOne. Больше я ничего не стал указывать – и меня взяли. На собеседовании мой будущий руководитель еще пошутил над тем, какое у меня резюме информативное.
Так что иметь хороший рейтинг на bug bounty платформе в каком-то смысле лучше, чем иметь красный диплом. Диплом о высшем образовании у меня, конечно, есть. Но он не красный.
– Вы упомянули везение. Объясните, пожалуйста, на что оно влияет в багхантинге?
— Например, бывает так, что ты нашел уязвимость, отправил репорт и ждешь ответ от компании. Через несколько часов или дней видишь, что уязвимость, которую ты нашел, закрыта на HackerOne и помечена как Duplicate. Это значит, что одновременно с тобой уязвимость нашел и другой хакер. В таком случае награду получает тот, кто первым сообщил об уязвимости.
Бывает еще, что после репорта уязвимость получает статус Informative. Это значит, что компания решила не исправлять уязвимость, поскольку посчитала ее некритичной.
В таком случае, разумеется, денег тоже не видать.
– А какой статус дает понять, что бумажник скоро потяжелеет?
— Все ждут заветный статус Triaged, после которого назначается выплата. Вознаграждение, как правило, поступает на банковский счет, PayPal или Bitcoin-кошелек (Coinbase) в тот же день.
В некоторых случаях команда программы bug bounty может перечислить награду после того, как устранит уязвимость, то есть через месяц, в среднем. Но были случаи, когда я получал выплату через несколько лет после репорта.
Уже даже забываешь о том, что где-то что-то нашел и зарепортил, а тут тебе на почту приходит уведомление о выплате. Это как найти деньги в зимней куртке в начале сезона. Однако это — редкость, обычно ожидание награды составляет до месяца.
– Скажите, какая уязвимость была для вас самой прибыльной?
– Однажды я вскрыл уязвимость, позволяющую обходить комиссию на переводы в одной из популярных платежных систем. Устранить ее можно было только в конкретном месте.
То есть, нашел на одной странице – исправил на этой странице. После обновления сайта уязвимость появилась на другой странице – исправляй снова. Закрыть уязвимость одной правкой везде и навсегда было нельзя.
Соответственно, я начал такие места искать. В итоге в разное время отправил пять репортов по одной уязвимости, и компания выплатила мне вознаграждение за каждый.
Другие исследователи найти обнаруженную мною «брешь» не могли, так как информация по репортам была закрыта. Нащупывать же уязвимость вслепую, с нуля можно было несколько месяцев. Никто за такое не возьмется.
– Бывают ли между «белыми» хакерами и заказчиками конфликты? Есть ли в этой сфере аферисты и мошенники?
– Сфера bug bounty построена на доверии между компаниями и «белыми» хакерами. Возможно в это сложно поверить, но в данном случае доверие является фундаментом, который по прочности не уступает договорам с кучей печатей и подписями десятка важных людей.
Я это к тому, что в сфере bug bounty бывают конфликты, но очень редко.
Бывают случаи, когда, например, уязвимость засветилась в СМИ после репорта, или владельцы программы bug bounty посмотрели логи и выяснили, что исследователь ее эксплуатировал. Тогда им отказывают в выплате вознаграждения.
Подчеркну, что такое поведение идет вразрез с этическими принципами настоящего исследователя.
– Мой скромный опыт общения c пентестерами не дает мне понять, почему они неохотно раскрывают свою личность. Можете рассказать о причинах скрытного поведения «белых» хакеров?
— Я бы не сказал, что это правило. Все зависит от человека. Чаще, даже наоборот – люди везде ездят, выступают, презентации показывают.
А вообще, когда начинаешь разбираться как все работает – к безопасности в интернете начинаешь относиться по-другому. Тут уже и в пароли символы добавляешь, и лишний раз думаешь, стоит ли на незнакомый сайт свои данные вводить. А такой тенденции, чтобы все скрывались, я не замечал.
– HackerOne перестал работать с российскими багхантерами.
Что в связи с этим изменилось в вашей работе? Как вы переживаете, так сказать, отлучение от HackerOne?
– Альтернатив HackerOne пока не много, но они начали появляться, в том числе и в России. Например, уже есть платформа BugBounty.ru, весной стартовала The Standoff 365 Bug Bounty, а да конца года, по слухам, появится еще одна-две. Это однозначно вовремя подоспевшее подспорье для российских «белых» хакеров. Однако я бы не стал говорить, что эти платформы интересны только потому, что закрылся HackerOne.
Некоторые из российских платформ предлагают уникальные задачи. Например, на The Standoff 365 Bug Bounty можно не только искать уязвимости, но и предлагать способы их использования в так называемых недопустимых событиях, хакерских атаках. Мне кажется, почувствовать в себя в шкуре киберпреступника – это довольно необычный опыт.
– Уверен, после прочтения этого интервью кто-нибудь да захочет податься в пентестеры. Можете дать какие-нибудь советы для начинают «белых» хакеров?
– Начинающий исследователь на первых порах может попытаться проверять чужие открытые репорты в других bug bounty программах, а потом находить аналогичные уязвимости и так зарабатывать.
Поначалу я действовал именно так.
Впрочем, когда новичок наберется опыта, ему это наверняка станет неинтересно. Появится желание самому искать новые векторы атак и открывать то, о чем еще никто не догадался. Это как переход на следующий уровень.
Цена акций Kiwi.com, финансирование, оценка, выручка и финансовая отчетность
Финансирование, оценка и выручка
5 Финансирование
Kiwi.com привлекла $106,68 млн из 5 раундов .
Последним раундом финансирования Kiwi.com была конвертируемая облигация на сумму 105,18 млн долларов 23 июня 2022 г. .
Оценка Kiwi.com в апреле 2019 года составила 254,85 млн долларов .
Последние 9 на Kiwi.com0007 пост-денежная оценка от апреля 2019 года.
Подпишитесь на бесплатную пробную версию, чтобы увидеть оценки Kiwi.
com за март 2015 года и другие.
23.06.2022 | Convertible Note | 105,18 млн долларов 9004 3 | Инвесторы, информация о которых не раскрывается | 0 финансовый год не определено | ||
4/8 /2019 | Acq — Fin | 99 миллионов долларов | Подпишитесь, чтобы увидеть больше | ▲ 254,85 миллионов долларов | 0,00 миллиардов долларов ((9,99x)) 1234 финансовый год | |
3/18/ 2015 | Ангел | 99 миллионов долларов | Подпишитесь, чтобы увидеть больше | 99 миллионов долларов 9 0043 | 0 FY не определено | |
14. | Seed | 99 миллионов долларов | Подпишитесь, чтобы увидеть больше | 0 90 004 FY undefined | ||
Другие инвесторы | Подпишитесь, чтобы увидеть больше | 0 FY undefined |
01.2014Дата | 23. | 08.04.2019 | 18.03.2015 | 14.01.2014 | |
|---|---|---|---|---|---|
| 900 04 Round | Convertible Note | Acq-Fin | Angel | Посевной | Другие инвесторы |
Сумма | $105,1 8M | 99M | 99M | $99M | |
Инвесторы | Неизвестные инвесторы | Подпишитесь, чтобы увидеть больше 90 043 | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше |
Оценка | ▲254,85 млн долларов | 99 млн долларов | |||
Выручка | 0 FY undefined | $0. ((9,99x)) FY 1234 | 0 FY не определено | 0 FY не определено | 0 FY undefined |
Источники |
06.2022
00BЭтот профиль не заявлено.
Вы больше, чем ваше последнее финансирование, расскажите нашим клиентам историю вашей компании.
Инвесторы Kiwi.com
4 Инвесторы
У Kiwi.com 4 инвестора . General Atlantic инвестировала в раунд финансирования Acq-Fin Kiwi.com .
08. | 08.04.2019 | General Atlantic | 1 Acq — Fin | Рост акций | Коннектикут | |
00/00/0000 | 00/00/0000 | Impuls Capital | Подпишитесь, чтобы увидеть больше | 90 056Венчурный капитал | ||
00/00/0000 | 00/00/0000 | Тузимский Капитал | Подпишитесь, чтобы увидеть больше | Консультации 90 043 | Швейцария | |
Impuls Kapital | Подпишитесь, чтобы увидеть больше | Private Equity | Швейцария |
04.2019Первое финансирование | 08. | 00/00/0000 | 00/00/0000 | |
|---|---|---|---|---|
Последнее финансирование | 08.04.20 19 | 00/00/0000 | 00/00/0000 | |
Инвестор | General Atlantic | 9004 0Тузимский Капитал | Импульс Капитал | |
Раунды | 1 Acq — Fin | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше |
Сиденья за столом | ||||
Тип | 9000 4 Акции роста | Венчурный капитал | Консультации | Частный капитал |
Местоположение | Коннектикут | Швейцария | Швейцария |
04.2019Kiwi.
com Investments2 Инвестиции
Kiwi.com сделал 2 Инвестиций . Их последняя инвестиция была в Zuri в рамках их Seed на 4 апреля 2019 года .
Kiwi.com Инвестиционная активность
11.04.2019 | Seed | Z uri | 0,22 млн долларов | Да | ||
12/ 13/2018 | Корпоративное меньшинство | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше | Подпишитесь, чтобы увидеть больше | 9005 6
Дата | 11. | 13.12.2018 |
|---|---|---|
Круглый | Семена | Корпоративное меньшинство |
Компания | Zuri | Подпишитесь, чтобы увидеть больше |
Сумма | 0,22 млн долларов | |
Новый? | Да | Подпишитесь, чтобы увидеть больше |
Соинвесторы | 9000 4 Подпишитесь, чтобы увидеть больше | |
Источники |
04.20191 выход портфеля
Kiwi.
com имеет 1 выход портфеля. Последним выходом из их портфолио стал AeroCRS 5 мая 2022 года. . Компания утверждает, что предлагает предложения и сравнение цен намного быстрее, чем другие онлайн-сервисы. Собственная технология HelloWings показывает цены в режиме реального времени и предлагает самые дешевые маршруты.
S
Scott’s Cheap FlightsScott’s Cheap Flights — это онлайн-платформа, на которой путешественники могут найти авиабилеты со скидкой. Платформа компании позволяет путешественникам находить дешевые международные и внутренние рейсы в США. Он был основан в 2015 году и базируется в Боулдере, штат Колорадо.
SkiplaggedSkiplagged — это ориентированный на потребителя веб-сайт о путешествиях, цель которого — упростить знакомство с миром. Компания раскрывает секреты индустрии, находя цены на авиабилеты, которых больше нигде нет и которые могут легко сэкономить вам до 80%.
AirWander AirWander — это поисковая система, которая добавляет к каждому рейсу дополнительные пункты назначения, превращая их в поездки по нескольким городам.
FareFirst — поисковая система для путешествий. Это позволяет пользователям сравнивать цены на авиабилеты и бронирование отелей в нескольких онлайн-турагентствах и на туристических сайтах. Он был основан в 2018 году и базируется в Каннуре, Индия.
AllihopAllihop предлагает экологичную платформу для бронирования деловых поездок. Он предлагает такие виды транспорта, как электронные скутеры, электронные такси, поезда, велосипеды и многое другое. Он также предоставляет корпоративные поездки для поддержки компаний в сокращении выбросов углерода. Компания была основана в 2020 году и базируется в Мальмё, Швеция.
Профиль компании Kiwi Property Group: динамика акций и прибыль
Обзор группы недвижимости Kiwi
- Основан
1992
- Статус
Общедоступный
- Сотрудники
177
- Стандартный символ
КПГ
- Цена акций
- (по состоянию на закрытие среды)
0,55 $
Хотите подробные данные о компаниях 3M+?
То, что вы здесь видите, царапает поверхность
Запросить бесплатную пробную версиюХотите покопаться в этом профиле?
Мы поможем вам найти то, что вам нужно
Узнать большеКотировки акций Kiwi Property Group
(на закрытие среды)
| Цена акций 9017 9 | Назад Закрыть | 52 недели Диапазон | Рыночная капитализация | акций | Средний объем | EPS |
|---|---|---|---|---|---|---|
| 0,55 $ | 0,55 $ | 0,46–0,69 $ | 864 млн долларов | 1.57Б | 1,2 м | -0,03$ |
Kiwi Property Group Финансовые показатели
| В тысячах, долларов США | ТТМ 30 сентября 2022 г. | 2022 финансовый год
31 марта 2022 г. | 2021 финансовый год 31 марта 2021 г. | 2020 финансовый год 31 марта 2020 г. |
|---|---|---|---|---|
| ЭВ | 1 531 289 | 1 990 516 | 2 091 649 | 1 485 800 |
| Выручка | 165 983 | 170 486 | 156 127 | 157 630 |
| EBITDA | (25 913) | 179 584 | 142 673 | (117 072) |
| Чистая прибыль | (45 944) | 156 018 | 131 136 | (120 796) |
| Всего активов | 2 000 098 | 2 504 853 | 2 353 257 | 1 896 041 |
| Общий долг | 714 925 | 795 052 | 742 476 | 612 566 |
Общедоступные фундаментальные данные предоставлены Morningstar, Inc. отказ от ответственности
Kiwi Property Group Оценка и финансирование
| Тип сделки | Дата | Сумма | Оценка/ EBITDA | Пост-Вал | Статус | Долг |
|---|
Эта информация доступна на платформе PitchBook.
Группа руководителей Kiwi Property Group (4)
| Имя | Название | Сиденье за столом | Контактная информация |
|---|---|---|---|
| Клайв Маккензи | Главный исполнительный директор | ||
| Стив Пенни | Финансовый директор | ||
| Джоанна Перри | Независимый директор |
Члены правления Kiwi Property Group (1)
| Имя | Представляющий | Роль | С |
|---|---|---|---|
| 0000 000000 | Сам | Член правления | 000 0000 |
Готовы начать?
Запросить бесплатную пробную версиюKiwi Property Group ESG
Обзор рисков
Рейтинг риска
Обновлено 28 февраля 2023 г.