Кілька днів тому ми отримали повідомлення про те, що стару версію одного зі скриптів роздають безкоштовно не її автор.

Ми перевірили цю інформацію, і справді виявилося, що це точна копія скрипта. Не виготовлений на замовлення схожий скрипт, а саме копія.

Причини для цього можуть бути наступними:

• Витік вихідного коду з боку розробника.
• Отримання вихідного коду з використанням акаунта розробника на сайті.
• Отримання вихідного коду з використанням можливої вразливості на сайті.
• Можливий злом скомпільованого застосунку.

Зрозуміти, що саме сталося за кілька місяців, доволі складно. Тому ми написали людині, яка роздає зламаний застосунок, представившись користувачем, який хоче зламати інший скрипт, і запропонували за це солідну суму. При цьому на сервері були активовані всі можливі логи, щоб зрозуміти, які саме кроки він робить.

За результатом листування злом так і не було здійснено, він просто перестав відповідати на повідомлення. При цьому людина говорила такі речі, які не дозволяють вважати її компетентною в цьому питанні. Насправді у зломщика пішло більше дня, щоб просто запустити скрипт.

Приклад:

Що стосується логів на сервері, то надані зловмиснику дані авторизації були використані лише 2 рази, щоб запустити скрипт на 1-2 хвилини.

У результаті, якщо припустити варіант 3) або 4), тоді незрозуміло, чому зловмисник не захотів отримати гроші без особливих зусиль? Чому версія скрипта, який роздається безкоштовно, настільки застаріла? Чому він навіть не намагався здійснити злом?

З усього цього я можу припустити, що злом захисту BAS у конкретно цій ситуації малоймовірний. Малоймовірний, але все ж можливий. Саме тому негайно буде вжито комплекс заходів для посилення захисту:

• Незабаром вийде патч із перенесенням частини речей, що стосуються безпеки, на сервер.
• Буде оголошено винагороду за знайдені вразливості(https://community.bablosoft.com/topic/12484/).
• Ми замовимо аудит системи захисту у сторонньої компанії.
• Найімовірніше, буде змінено протектор.
• Можливість отримати код свого скрипта через особистий кабінет вимкнено(Уже зроблено).

Усі ці заходи буде вжито найближчим часом, буквально дні та години. Наразі версія BAS 23.0.0 вже повністю готова, але її реліз відкладається, щоб розібратися з можливими проблемами, описаними вище.

Ми дорожимо нашими напрацюваннями в галузі захисту і не терпітимемо крадіжок на нашому майданчику, саме тому користувача, який демонстративно роздавав чуже, було забанено. І так буде з кожним, незалежно від статусу, кількості користувачів тощо.

У цій темі допускається лише обговорення, що стосується захисту. Назви конкретних скриптів вживати заборонено. Заборонено говорити про баги BAS(для цього є інші теми).