Hola a todos,
Soy Vishnu Prasad , estudiante de ingeniería de tercer año, un desarrollador apasionado y un novato en la búsqueda de errores (perdona mis errores en este informe, si corresponde).
Recientemente encontré un error en Google que permite a cualquier persona acceder al panel de administración interno de Broadcasting Satellite & YouTube TV de YouTube. Lo informé como parte de Google VRP, lo que me valió $ 13337.
Y este artículo explica mi historia al salón de la fama de Google.
Habiendo dicho eso, comencemos
Un día, mientras buscaba nuevos errores en Google , obtuve algunas de las direcciones IP de Google de alguna divulgación de sus problemas internos. (No tenía idea de qué hacer con estas direcciones IP )
Comprobé las direcciones IP y pude entender que la lista también contenía alguna IP interna de Google. Recientemente, mi amigo KL SREERAM informó sobre un error similar con respecto a su IP interna y también otro de mi buen amigo Vishnu que había encontrado un subdominio con acceso a los paneles de administración. Sin embargo, estos problemas ya se han solucionado. Y Google también bloqueó el acceso público a todos estos rangos de IP.
Pero ahora, tenía algunas direcciones IP similares conmigo y de alguna manera tenía que encontrar una manera de eludir esta restricción.
Y mientras seguía pensando cómo avanzar, me pregunté:
‘¿Por qué no preguntas a Google sobre cómo eludir la restricción de Google’?
Y así lo hice. Busqué en Google …
Empecé a buscar extensamente en Google para acceder a las direcciones IP bloqueadas [ de Google ]. Cada artículo / blog / foro / comentario que leí me dijeron que necesitamos su proxy para acceder a las direcciones IP (Proxy de Google Access) .
Seguí buscando y buscando nuevas formas
¡Y de repente sucedió!
¡Mi fuente de alimentación se apagó!
Y no tengo dispositivos de batería de respaldo (¡KSEB es una mie*#*!)
Ya había decidido que de alguna manera encontraría una manera de eludir esto y que no estaba listo para dejar de fumar ?
Simplemente no pude parar y, entonces, saqué mi teléfono móvil y comencé a buscar en Google nuevamente. Mientras buscaba, solo por curiosidad, traté de abrir una de esas direcciones IP en mi navegador móvil Google Chrome (me encanta navegar en Chrome )
WTF: una página con inicio de sesión HTTP apareció frente a mí.
Whoa! ¡Nunca esperé ver eso!
Entonces, había un inicio de sesión frente a mí, posiblemente la puerta al interior de una de las compañías más poderosas del mundo. Sin embargo, necesitaba un nombre de usuario y una contraseña para ingresar.
Entonces qué hago ?
Intenté hacer clic en el botón INICIAR SESIÓN sin ingresar ninguna credencial.
¡¡Ay!!
Para mi sorpresa, una página con muchos botones y opciones apareció frente a mí. Me tomó un minuto darme cuenta de que estoy dentro del Panel de administración de un producto de Google.
BINGO !! Estoy en ! (Sí bebé, KSEB Rocks!)
(Tengo la idea de usar credenciales nulas para el inicio de sesión de Google desde el blog de SREERAM mientras leo sobre su hallazgo. ¡Gracias por ese Bro ..! )
En ese momento, sin embargo, realmente no sabía cómo sucedió. Lo único que sabía era que tenía acceso a un panel de administración de un producto de Google.
Después de unos minutos, el poder volvió e intenté abrir la misma IP en mi computadora. Pero no se abrió. ¡La página de inicio de sesión nunca apareció! Que desafortunado !
Ahora, estoy totalmente confundido.
¿Por qué funcionaba en el navegador de mi teléfono móvil y no en mi navegador portátil? Esta pregunta no dejaba de molestarme …
De todos modos, en una hora, hice un POC en mi teléfono y envié el informe a Google. ?
En aproximadamente 5 horas recibí su respuesta de que habían seleccionado mi informe. También obtuve una respuesta de «¡Buena captura!» Para mi informe. Estaba saltando de alegría. ¡El poderoso Google en Silicon Valley me había respondido en Trivandrum!
Me preguntaron: «¿Puede decirnos qué direcciones IP usó para este acceso?». Básicamente querían saber a qué proxy me conecté. Pero yo no sabía eso. Así que decidí profundizar en eso.
En aproximadamente 2 horas encontré el bucle que me ayudó a entrar en sus paneles de administración.
¡El gran misterio había sido decodificado!
Fue el protector de datos de Google el que me ayudó a acceder a sus IP internas. Se activó en mi navegador móvil Chrome. He incluido una imagen para ayudarlo a comprender su funcionamiento.
Este proxy actúa como su proxy de acceso y me dio acceso a sus páginas internas. Entonces, después de agregar este proxy a mi computadora, también pude acceder al panel de administración desde mi navegador portátil.
Ahí tienes. Ahora con eso, ¡cualquiera puede acceder a los paneles de administración de Google desde cualquier parte del mundo!
De miedo !!
Les respondí con una reseña muy detallada. Y recibí una respuesta en 30 minutos.
También incluí algunas capturas de pantalla del panel de administración al que tuve acceso.
Además de esto, obtuve acceso a su panel de transmisión, configuración interna de PCSC, y muchas de esas ubicaciones usando esta técnica en particular .
Finalmente me recompensaron con $ 13337
Salón de la fama de Google: https://bughunter.withgoogle.com/rank/hof/1
Enlace de perfil - https://bughunter.withgoogle.com/profile/76289848-1b71-44c7-b11f-6475ffbc4d7f
Ahora, también me seleccionaron como uno de sus mejores Bughunter en el año 2k17 .
Y aparece en Times Of India (TOI).
Fuente: Medium.com
