Dropbox นั้นพัฒนาด้วยภาษาไพธอนที่เป็นภาษาสตริปต์ แต่ตัวโค้ดถูกจัดเรียงให้ยุ่งเหยิงจนอ่านไม่ออกด้วยกระบวนการหลายอย่างทำให้โปรโตคอลรวมๆ ของ Dropbox ยังไม่เปิดเผยออกมาจนทุกวันนี้
ไฟล์ exe ของ Dropbox นั้นภายในเป็นไฟล์ zip ที่รวมเอา Python27.dll รุ่นพิเศษที่ Dropbox สร้างไว้ใช้งานเองเข้าไว้ในตัว โดยตัวแกนไพธอนนี้ถูกแพตซ์เพื่อให้อ่านไฟล์ pyc รุ่นพิเศษที่เข้ารหัสเอาไว้
การเชื่อมต่อ Dropbox นั้นใช้ SSL โดยฝังใบรับรองไว้ใน DLL โดยตรง ทำให้การดักฟังแบบ man-in-the-middle ก็ยังทำได้ลำบาก ทีมงานอาศัยการเปลี่ยนออปเจกต์ด้วยการทำ Reflective DLL เพื่อแพตซ์ฟังก์ชั่นที่น่าสนใจทั้งหมด แล้วดึงข้อมูลที่ส่งเข้าออก SSL ออกมาโดยตรง ทำให้ได้ข้อมูลการสื่อสารออกมาได้
ทีมวิจัยสามารถสร้างโปรแกรมขนาดเล็กเพื่อดูรายชื่อไฟล์ใน Dropbox รวมถึงการอัพโหลดและดาวน์โหลดไฟล์ออกมาได้สำเร็จ
ที่มา - Usenix: Looking inside the (Drop) box (PDF), SD Times
Get latest news from Blognone
Follow @twitterapi
Comments
ทำไปเพื่อ ความท้าทาย(ความสะใจ) หรือเพื่อความปลอดภัย
น่าจะพวกฝึกวิทยายุทธละมั่งครับ
ถ้าคิดว่า Dropbox อัพเกรดตัวเองได้ตลอดเวลา (ไม่เคยเห็นมันถามเหมือนโปรแกรมอื่น) แล้วทีมงานมีแผนการลองรับรอไว้แล้ว ปัญหานี้อาจจะไม่ใหญ่ก็ได้
ถ้าใครอยากขโมยไฟล์จริงๆ ไปดัก U&P เป้าหมายน่าจะสบายกว่า บางคนยิ่งหมูเห็นชอบ save U&P ค้างไว้ที่เครื่องกันประจำ
เอาจริงๆผมว่ามันก็เรื่องเดียวกันแหละครับ ยุคหลังๆมานี่ถึงได้แยกมันออกจากกัน
ศึกษาจุดอ่อนจะได้แก้ไขได้ก่อนที่จะมี Black hat เอาไปใช้ไงครับ
onedd.net
มันขยันอะไรขนาดน้านนน
ความลับไม่มีในโลก ไม่มีอะไรที่แฮ็กไม่ได้ .... ธนาคารทั้งหลานจงระวัง ... ฮูวา ฮา ฮา ฮา ฮา
"ธนาคารทั้งหลาน"
แสดงว่า ธนาคารพ่อแม่พี่น้องปู่ย่าตายาย ไม่ต้องระวังใช่ป่าวครับ :-P