КЕЙС RT-0268 Разработчик CRM-систем

Из утечки в боте — в root-доступ к 22 серверам

Один утёкший пароль от внутреннего портала стоил компании контроля над всей инфраструктурой. Мы показали, как именно — вся цепочка за один пентест.

Цель: Пройти во внутреннюю инфраструктуру разработчика CRM, стартуя только с открытых источников
Путь: Начали с OSINT: в дампе утечек нашли рабочие учётки сотрудников заказчика для внутреннего портала. Через ошибку контроля доступа (IDOR) перебрали пользователей и наткнулись на аккаунт менеджера, у которого стоял дефолтный пароль. Через настройки портала загрузили веб-шелл и закрепились на сервере. Там обнаружили ключ ansible.key — он открывал root-доступ сразу к 22 серверам компании. Одна утёкшая учётка с низкими правами давала полный контроль над всей инфраструктурой.
Детектировано: Перебор пользователей растворялся в обычной активности, вход с дефолтным паролем не поднимал алертов, а веб-шелл осел через штатную настройку портала

После: Заказчик получил не отчёт, а карту реальной атаки — от первого касания до полного захвата. Устранили IDOR, отключили дефолтные пароли, изолировали Ansible-ключи и закрыли доступ к внутреннему порталу извне.

Имена, отрасли и детали инфраструктуры изменены; таймлайны и техники — нет. Больше кейсов →

Паттерн на одной странице

Дампы утечек — входная точка №1. Рабочие пароли сотрудников годами гуляют по публичным дампам.
IDOR — это карта всех пользователей. Перебор ID превращает одну учётку в прогулку по всему каталогу.
Один ключ Ansible равен всей инфраструктуре. SSH-ключи управления должны жить в хранилище секретов, а не на веб-сервере.

Узнаёте паттерн?

Что мы проверим	Типичные трудозатраты
Тот же путь против вашей инфраструктуры, по подписанному ROE	2–4 нед
Проверка детектирования: что увидел бы ваш SOC	включено
Повторный тест после исправлений, в течение трёх месяцев	бесплатно

Начать разговор — ответ в течение двух рабочих дней

Может ли такой путь существовать у вас?

Расскажите о ключевых активах — мы скажем, насколько близок этот кейс к вашей реальности.

Заказать оценку