Как и сколько зарабатывают хакеры

Интервью с взломщиком: «Я за пару дней зарабатываю 3-4к$»

MaulNet: Наконец, означает ты ну на подобии хакер?

Взломщик: Вообщем нет, я изыскатель. Моя работа отыскивать уязвимости, создавать рисеч, но не эксплуатировать или же создавать кому то «плохо».

Я — whitehat.

MaulNet: А какие языки ты представляешь, и как вообщем это началось?

Взломщик: Я был «обычным» разработчиком программного обеспечения. Стартовало давным-давно, году в 2008, когда я читал бомжедвижение и SEO онлайн-дневники. Все это казалось мутью для подростков (и в данный момент кажется), в следствие этого я проворно перебежал в обыденный фриланс — проделывал скрипты/движки на PHP.

Помаленьку это подросло в что-то большее, потрудился фултайм на нескольких работах, переключился на Ruby.

Казалось бы крышка и далее остается лишь только развиваться в данном направленности, но в марте 2012 я взломал известный между гиков вебсайт github.com. Здесь в мозгах случился сдвиг, и из сотворения систем я начал мыслить как их взламывать. Выходило очень сносно.

MaulNet: А это в Github тебя приглашали трудиться впоследствии взлома?

Взломщик: Нет, как раз с ними у меня дела навек испорчены, и трудиться с ними не выйдет ни разу. Впоследствии взлома пришло некоторое количество 10-ов посланий от большущих фирм на подобии twitter, facebook, гугл и не довольно. К счастью, я не пошел на фултайм и сохранился свободным консультантом — например я трудусь значительно продуктивней.

MaulNet: Напрямик от всех пришло по приглашению? На рынке кадровый голод? И как они тебя нашли?

Взломщик: Это обыкновенная практика, когда некто «засветился» на взломщик ньюс к примеру (а топ 6 новостей там было на тему меня), то HRы начинают забрасывать удочки. В следствие этого разработчики программного обеспечения, большое количество специализирующиеся open source, получают от их предложения периодически.

MaulNet: Короче говоря, с 2012-го ты начал консультировать?

Взломщик: Не незамедлительно, некое время я ещё потрудился в Skrill, но с начала 2013 года промышлял лишь только консультациями. За это время и зарегал фирму Sakurity.com — и ныне трудусь не раз.

MaulNet: Skrill — это платежка? Ты ее также взломал?

Взломщик: Да, на нее как правило выводят средства с odesk или же при работе с покер веб-сайтами. Это европейская версия пейпала.

Позвали трудиться впоследствии нахождения уязвимости, ага.

MaulNet: А чего все это дырявое-то?

Взломщик: Безоговорочное основная масса не вносит средства в защищенность. В том числе и лихой разработчик программного обеспечения оставляет за собой уязвимости, вследствие того собственно что мозги его трудятся в ином направленности. И взломщиков, способных это отыскать, не например то большое количество. Но они есть.

MaulNet: Ты проработал некое время в их европейском офисе?

Взломщик: 2 месяца в Софии всего.

MaulNet: Какая приблизительно зарплата?

Взломщик: Обыкновенная германская, около 50 тыс евро в год.

MaulNet: Тебя там не вдохновили возможности или же элементарно неинтересно, скучно?

Взломщик: Да какие имеют все шансы быть возможности. В Европе все однообразно, все получают плюс-минус схожую ЗП, платят необузданные налоги — не мое. На что момент мне надобно было бы в Штаты двигаться.

MaulNet: А в Штатах что?

Взломщик: Там вертятся средства, есть крутые стартапы, в коих любопытно трудиться. В равнине все это.

MaulNet: Ладненько.

Означает затем ты отправился в эти Азии и начал консультировать?

Взломщик: Ну да, с тех времен выезжаю по миру, но почаще в Азии. Год прожил в Бангкоке, но быстро надобно ехать далее.

MaulNet: Сколько у тебя с тех времен было покупателей на консультации?

Взломщик: Я не считаю, но уже более 30. Дело не в числе естественно, любой заказчик это различный размер заказа.

MaulNet: А в деньгах сколько в среднем выходит раз клиент?

Взломщик: В случае если на пару дней, то в среднем 3-4k $. В случае если большой заявка, то 10-20k.

MaulNet: Имеет возможность стоит опустить расценки? Все же 30 покупателей за 2 года не например уж большое количество. Или же от сего покупателей не прибавится?

Взломщик: Задачки большое количество прежде и не стояло, я не нагонял на вебсайт трафик, постарался отыскать собственную нишу, работая раз или же с парой контракторов. В данный момент намерения поменялись, и я буду наращивать размеры. Но стоимость не поменяется, она всецело оправдана для такого раздела покупателей, который мне увлекателен. Пентестить онлайн-дневники на вордпрессе за 50 баксов — это не к нам.

MaulNet: Расскажи, собственно что из себя дает средний клиент? Между покупателей есть какие-нибудь знакомую IT-фирмы?

Взломщик: Много, возможно взглянуть перечень на веб-сайте для примера.

В покупателях есть и большие платежные системы, но не все позволяют объявлять данную информацию. Для обычного рунет-юзера, не все, там не достаточно кто привидится своим людям. В ведущем, это удачные стартапы из равнины, в руинтернете о их никто не понимает.

MaulNet: Как они тебя находят? Почаще сквозь блог или же по советам минувших клиентов? В SEO, есть соображение, почаще трудятся совета, ну имеет возможность за исключением свежих компаний и довольно отлично раскрученных «визиток». Взломщик: Сквозь совета изредка.

В ведущем, это люд, которые натолкнулись на вебсайт и заметили там мое имя (которое краем уха слышали почти все в долине), взглянули отзывы и посты. Полагаю в будущем совета станут бывало почаще.

MaulNet: Собственно что из себя дает твой доклад по безопасности?

Как нередко нет практически никаких нешуточных угроз? Это, кстати, не все, собственно что iCloud взломали обычным перебором паролей?

Взломщик: Доклад — это перечень с описанием уязвимостей, совета и вывод о защищенности приложения. Глядя собственно что считать нешуточной опасностью — опасный баг, позволяющий исполнить код на сервере, сталкивается лишь только в одной тридцати процентов приложений, но элементарно критические багаж на подобии XSS присутствуют буквально всякий раз. За iCloud я не смотрел, но вроде бы да, это был обыденный перебор.

MaulNet: А чем небезопасен XSS? Помню, им прежде генерили ссылки на пустующих страничках больших порталов.

Взломщик: XSS это выполнение твоих скриптов в контексте постороннего домена. На блоге добавление ссылок это одно из лучших собственно что возможно с ним устроить, а в случае если у вас XSS на gmail, к примеру, то это чтение/написание каждых посланий у потерпевшие и стоит нешуточных средств.

MaulNet: На собственно что при анализе ты тратишь более всего времени? Собственно что самое сложное? И вообщем какие случаются типы интернет уязвимостей?

Взломщик: В случае если аудит с чтением исходников, то более всего уходит на их чтение. Надо просмотреть любой файл, дальше выстроить в голове как трудится приложение. И лишь только в процессе всплывают идеи как данную зодчество возможно нападать.

Типы уязвимостей я бы подчеркнул в клиентские (XSS итд) и серверные. Клиентские легче всего отыскать и показать, но в действительности их практически не пользуют т.к. это длительное время и неприбыльно. Серверные же это действительная опасность, которую надобно находить в первую очередь. Обыденный SQL injection нередко ведет к выполнению кода и возможно элементарно скачать всю основание данных.

MaulNet: Расскажи чего-нибудь ещё весомое.

Взломщик: Наилучшая рекомендация создателям — это применить неплохие фреймворки. Самописные движки, которые например обожают сеошники и молодые разработчики программного обеспечения — это дорога в никуда. Беседуют Yii и Zend удовлетворительные. Для питона это джанго, для руби это рельсы.

Фреймворк постановляет почти все трудности сам.

MaulNet: Меня, помню, взломали впоследствии такого, как администратор установил для входа на раз из вебсайтов вспомогательную phpMyAdmin, а затем запамятовал на тему нее, она не обновлялась, по всей видимости большое количество было пабликовых дырок к что версии. Это нередкое явление? Как нередко неувязка быстрее в сервере, ежели в самом самописном движке?

Взломщик: По прецеденту да, это наверное основная масса взломов — когда баг располагается на неком поддомене, позабытой админке или же старенькой версии вордпресса. Принципиально наблюдать за собственной инфраструктурой и не запускать любую старую муть на что же сервере, где и ключевое приложение с критичными данными.

MaulNet: Твои покупатели ни разу не требуют личностные встречи? Платят без каждых договоров?

Взломщик: Собственных встреч не было ни разу. Как правило заключаем контракт по желанию покупателя, но у меня всякий раз пост плата.

MaulNet: Без предоплаты?

Взломщик: Да, не беру предоплату

MaulNet: Почему?

Взломщик: Задач ни разу не появлялось, да и мне например спокойней.

MaulNet: Где и как надо рыть, дабы из попрошайку PHP-программиста переквалифицироваться в хакеры?

Взломщик: Памятке у меня нет, я перебежал собственным методом и мой навык здесь не несомненно поможет. Вообщем надобно увлекаться чем для тебя нравится. Попрошайкам PHP разработчика программного обеспечения готовит не PHP, а его неумение себя реализовать / взростить собственные скиллы до подходящего значения. Средства есть в всякий нише.

MaulNet: И все же, собственно что надо читать?

Взломщик: Все по порядку. И мой блог)

MaulNet: Блин, имеет возможность на британском есть отчетливые форумы?

Взломщик: В ведущем Твиттер, надобно подписаться на пару сотен чуваков и глядеть собственно что они проделывают. И создавать самому.

MaulNet: Дай пару примеров.

Взломщик: К примеру, lcamtuf и его книжка The Tangled Web — это библия интернет взломщика. Вобщем, я ее не читал 🙂

Этих блогов некоторое количество 10-ов, отыскиваете сами.

MaulNet: Ты враждебный по отношению к новичкам взломщикам ^)

Взломщик: Есть люд с тягой к преподаванию — я не из этих. Мне на почту периодически сообщают всякие индусы с пожеланием научить… сами давайте)

MaulNet: Скажи, где мальчуганам чтить на тему что же XSS?

Взломщик: Возможно забежать на OWASP — это Вики по интернет уязвимостям.

MaulNet: Какие конторы в твоей нише крутые?

Взломщик: К примеру — Matasano популярны собственными исследовательскими работами, тем более в тайнописи.

MaulNet: Расскажи на тему намерения на будущее.

Взломщик: Намерения на будущее это прирастить количество покупателей и сделать пару инструментов на перепродажу. В этот момент трудусь над сенсором общественных профилей. Вполне вероятно он выйдет как open source, а имеет возможность и как продукт.

MaulNet: Сенсор соц. профилей — это что самый невидимый лайк? )

Взломщик: Да.

MaulNet: А в чем значение издавать как open source?

Взломщик: Не принимаю во внимание, охота устроить людям приятное. У меня нет ни 1-го open source плана, а без него в данный момент никуда.

Почти все рисечеры отпускают продукты open source, к примеру что же брутофорс iCloud — https://github.com/hackappcom/ibrute

MaulNet: Расскажи за это время коротко в чем значение сенсора.

Взломщик: Надобно вынудить гостя твоей странички устроить клик в нарочно отведенную зону, там располагается бесцветный виджет. В это время скрипт на сервере выслеживает клики, возможно практически мгновенно квалифицировать профиль в общественной сети человека, который кликнул. Это разрешает сделать таргетированные предложения. Лишь только ты кликнул, а для тебя уже «Дорогой Вася, судя по вашим альбомам ВК вы лишь только собственно что возвратились из Италии, в следствие этого мы желаем предложить для вас поездка в Японию!».

MaulNet: Собственно что из себя дает средний взломщик сегодня?

Мне видится, собственно что это подобный чел, который посиживает на Античате или же имеет возможность замкнутом форуме, собирает пабликовые уязвимости из нормальных движков на подобии Drupal, а затем льет на веб-сайты всякие mobile редиректы.

Взломщик: Хакеры случаются различные. Образ как ты написал это блекхеты, и я не вижу в данном ничего нехорошего. В случае если бы не было взломщиков, то и не было бы спроса на защищенность, у меня бы не было работы.

Есть хакеры, которые сообщают эксплоиты и реализуют, есть те кто сами ничего не делают, а пользуют то, собственно что отыщут в паблике.

MaulNet: Ты все ещё собираешь биткоины?

Это не все, собственно что крипту невозможно вломать?

Взломщик: Да, я предпочитаю биткоины и в том числе и беру на себя ими плату за работу. Естественно нервирует последнее снижение курса. Взломать невозможно, в данном и сущность их надежности. Цифровое золото.

MaulNet: На тему численность ты, наверное, не заявишь, но какой % от твоих заработков за все время лежит в крипте?

Взломщик: Имеет возможность % 30. Находится в зависимости от курса. Имеет возможность сквозь год эти 30 перевоплотился в 99.

MaulNet: 99 %, остальное на пиво. Например и запишем.

Интервью с взломщиком: «Я за пару дней зарабатываю 3-4к$»
5 (100%) 2 votes

Оставьте комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *