Pentesting Security On $250 Million Project (Linear Finance) EXPLOITED !!!

Selamunaleykum Wr.Wb

Halo, Perkenalkan Saya Sulthan Falah, Saya merupakan WEB Developer dan IT Security sejak tahun 2014, telah melakukan berbagai kegiatan pentesting, bug fixing, bug bounty, hackathon, etc. lebih dari 5000+ kasus pada website dan aplikasi. Ok Lanjut…

Kali ini saya akan membagikan penemuan celah keamanan pada domain utama https://linear.finance/ , Hal yang mendasari tindakan saya melakukan pentesting tersebut di karenakan kesukaan saya pada project Linear Finance itu sendiri.

Hal yang pertama saya lakukan yaitu mendorking terlebih dahulu kemungkinan kemungkinan bug yang terdapat pada domain, dilanjut dengan menscanning domain tersebut apakah terdapat bug atau tidak.

Lalu saya mencoba mencari halaman login pada website tersebut, dalam setiap website yang saya temui semuanya memiliki keunikan tersendiri, salah satunya website ini, saya tidak butuh waktu lama untuk menemukan halaman login pada website karena diberi directory /admin/ dan dapat diakses oleh publik.

Dari sini saya mulai merasa curiga dengan adanya button reg, saya teringat dengan suatu bug lama pada Joomla dengan POC Com_User yaitu pemanfaatan token credential admin yang dimasukan pada csrf, sehingga new user yang terdaftar mendapatkan credential sebagai admin.

Payload Tes:
Register User using token credential at https://linear.finance/admin/ > Ok

Gotchaaa !!! Now i can login using admin credential.

Setelah sukses mendapatkan akses login sebagai admin, hal yang pertama saya lakukan yaitu dengan mencoba upload file karena dari sini sangat krusial, bayangkan jika kita meng upload Shell (Backdoor Virus), Shell tersebut dapat mengambil alih seluruh website beserta server didalamnya, pada kali ini saya mencoba mengupload file berupa gambar moon yang saya download di google.

MyFile Uploaded

Payload Tes:
https://linear.finance/admin/ via media navigation > Ok

Gotchaaaaaaa strike again

Melakukan tindakan lebih dalam pada bug disini saya akan melakukan CRUD (Create, Read, Update, Delete) selayaknya sebagai admin pada website. Selayaknya admin saya melakukan pengeditan pada halaman utama, merubah berbagai konten pada halaman utama dan berhasil.

(ADMIN UPDATE)

Selanjutnya saya mencoba untuk membuat section baru pada halaman utama bagian footer, section tersebut saya beri nama “Test Patch” yang berisikan telegram, facebook, dan instagram saya.

(ADMIN CREATE)

https://linear.finance/admin/#/collections/navigation/entries/footerNavigation > Ok

Sesuai perkiraan saya, yaitu sukses.

conclusion of this bug is exist > Ok

This is critical bug that user registered can CREATE, UPDATE, DELETE DATA using admin credential.

Ask of Bug and Report — 26 April 2021Bug Valid — 26 April 202126 April 2021 ask of disclose bug26 April 2021 notification, bug disclose on 26 April 2021Ask any reward or certified 26 April 2021Waiting Dev Respon a Months if there any reward or certifiedNotification no Reward or Certificate 2 June 2021

Sekian WriteUp dari Pentesting 250 Million dollar Project. Sadly no reward or even certificate padahal bug tersebut sangat berbahaya dan valid. But Happy to Help and Support this Project

Waselamunaleykum Wr.Wb