作为一个领先的漏洞报告平台，HackerOne已经代表100多个客户向黑客支付了2300多万美元，其中包括Twitter、Slack和美国五角大楼。该公司的地位还让它可以接触到数量多得难以想象的敏感数据。现在，该公司已经自掏腰包支付了2万美元的赏金，因为它意外地给了外部黑客阅读和修改客户漏洞报告的能力。
这名外来者是一名黑客社区成员，他有通过该平台发现并私下报告漏洞的可靠记录。上个月底，他一直在与该公司的一名安全分析师沟通。在一条消息中，HackerOne分析人员向社区成员发送了cURL命令的一部分，该命令错误地包含了一个有效的会话cookie，该cookie允许任何拥有它的人能够读取和部分修改分析人员可以访问的数据。
11月24日，社区成员haxta4ok00用蹩脚的英语写道:“HackerOneStaff访问”。“我可以阅读所有的安全报告和更多的程序。在随后的一条信息中，haxta4ok00写道:“我发现你可以编辑私人程序(用于测试)，我没有改变任何东西，也没有使用，都是为了黑客。”同一天，黑客又跟进了，写道:“如果你需要证据，我可以写一条信息(修改)。”
HackerOne在太平洋时间早上7点11分撤销了会话cookie，沐鸣开户测速而此时正是haxta4ok00报告该漏洞后的2小时3分钟。随后，该公司的事故响应小组着手调查发生了什么以及造成了多大的损失。
损失评估
HackerOne并没有准确说出有多少数据被泄露。该公司周二发布的一份事故报告称，所有受影响的客户都已得到私下通知。周二的报告还说，这些数据仅限于安全分析师能够接触到的报告，但披露的信息甚至没有提供多少客户或多少数据受到影响的粗略估计。然而，该报告以及与之相关的HackerOne与haxta4ok00通讯的文字记录表明，这次曝光并非微不足道。
“发生了一些我们还没有问你的事情，”HackerOne的联合创始人Jobert Abma在事件发生后的第二天写道。“我们发现你没有必要打开所有的报告和页面来验证你是否可以进入账户。你能解释一下为什么要这样对我们吗?”
这名社区成员说，他这样做是为了“显示影响”，他无意造成任何伤害，并立即报告了访问情况。他写道:“我不确定在代币之后我是否会拥有所有的权利。”在后来的一条消息中，haxta4ok00继续写道:
三年前我提到过这样的攻击，但它是理论性的，没有人听我的。如果这将有助于我在一个系统的安全论坛版主。我们通过将会话绑定到入口的IP地址来保护自己免受这种攻击。我们还对访问私有部分进行了基本授权。也许这对你有帮助。
我明白，看到的数据不应该被看到，但这只是黑客的兴趣在白色的目的，我想看，并向你展示偏见的后果，这可以导致(我一直被教导写的全面影响)。对我来说，这是一次愉快的白砍。
请不要责骂他，他是帮助黑客的最好的员工之一
如果我觉得翻译的不好，希望大家能谅解。再次谢谢@jobert。
Abma回答说:“这成为一个更大的事件是因为你访问了大量的数据，而不是因为它一开始就发生了。”
还有Abma发出的另一条信息。上面写着:
由于可以访问的数据的性质，可以访问hackerone.com以外的系统。范围包括由于可能被访问的漏洞信息而导致的任何客户资产。
这份文字记录和报告还表明，这次入侵给了外来者其他可能更严重的能力，包括支付赏金、修改程序细节、增加用户和暂停客户提交。Haxta4ok00向HackerOne保证，黑客将访问限制为“只读”。HackerOne的安全主管里德·洛登(Reed Loden)在一封电子邮件中表示，网络日志也显示，他们没有尝试做任何改变。
黑客还向HackerOne保证，所有的截图、导出、代理日志、浏览器历史记录和其他在未经授权访问期间捕获的数据都已删除，尽管黑客承认没有办法证明这一点。
洛登以“不正确”为由，否认了报告一开始的说法，即haxta4ok00可以“读取@security和更多程序的所有报告”。“深橄榄色写道:
黑客可以在短时间内访问会话cookie允许的客户程序漏洞报告的有限子集。大多数受影响的报告只有标题和有限的元数据可查看。一旦提交了报告，原始的描述就无法更改，我们通过日志确认没有试图更改报告。这也得到了黑客的证实。
他拒绝透露haxta4ok00访问了多少数据，也没有透露有多少客户受到了影响，只是说这次攻击“只影响了不到5%的程序”。
洛登还表示，三年前haxta4ok00报告的攻击是“纯粹的理论设想，针对的是过去没有、现在也没有得到HackerOne平台支持的较老的浏览器”。洛登说，与社区成员共享会话cookie的情况以前没有报道过。
的预防措施
该报告还详细介绍了HackerOne公司为防止未来再次发生类似的黑客入侵所采取的措施。正如haxta4ok00所建议的，一个步骤是将身份验证cookie绑定到它被发送给的用户的IP地址。此举是为了防止外人重复使用这些饼干。
周二的报道称:“这一变化于2019年11月25日对HackerOne员工(包括所有的HackerOne安全分析师)进行了调整。然而，11月26日，Abma向haxta4ok00发送了一条消息，称:“由于人们拥有使用多个IP地址的合法用例(例如使用DHCP的isp)，我们将推迟对所有用户的推出。”
其他短期措施包括阻止来自特定国家的访问，以及在关键报告提交时，从Slack上的通知转向呼叫随时待命的安全人员。该公司还实施了一些控制措施，可以自动检测和编辑在评论中提交的会话cookie和其他敏感数据。HackerOne计划实施的其他预防措施包括添加关于数据访问的新日志记录、将会话绑定到特定的设备、改进员工教育以及彻底修改安全分析师权限模型。
除了haxta4ok00之外，没有任何迹象表明泄露的数据被修改、存储或传递给了其他方。尽管如此，这一事件表明，企业将一些最敏感的商业秘密托付给外部人士是有风险的。
从2014年到2016年担任HackerOne首席政策官的凯蒂?它被称为“攻击五角大楼”(Hack the Pentagon)，沐鸣开户测速不仅是联邦政府的第一个漏洞奖励计划。这也是HackerOne第一次代表客户尝试漏洞分类。
现在，作为卢塔安全公司(Luta security)的首席执行官和创始人，穆苏里斯说:
在五角大楼之前，他们从未尝试为任何客户进行分流。我警告他们，我们可以信任的分流工作将难以找到。平台的设计需要在后台进行更严格的细粒度控制，以限制每个程序的访问，特别是如果承包商将被用来做分流。
我建议我的客户不要外包漏洞暴露或针对敏感系统的bug奖励程序的分类，因为承包商通常是在这些受管理的bug奖励平台上进行分类的人。[客户]也应该尽快修复这些漏洞，因为来自漏洞奖励平台的内部威胁，或获得访问权限的外部攻击者，可能会看到这些系统中存储着大量未修补的漏洞。
我感觉在过去的几年里，我一直在警告的关于当前bug赏金平台实现的风险都在这个报告中。
对于HackerOne来说，洛登说，对未经授权访问的解析和详细披露——他说这是影响公司的每一个安全事件的标准做法——证明了HackerOne保护客户机密的承诺。
他写道:“安全事故总是存在的，公司的应对方式可能比漏洞本身更能说明问题。”“我们的目标是透过我们的行动，向市民和客户展示我们正积极采取的加强保安措施。”