Hackeei um SaaS de Paquera e virei PRO de graça

Hacking de uma Inteligência Artificial para Paquera

Introdução ao Push Assunto

• O vídeo apresenta o Push Assunto, uma plataforma brasileira que utiliza inteligência artificial para ajudar na paquera, analisando conversas em aplicativos como Tinder e WhatsApp.

• A proposta é interessante, especialmente para aqueles que buscam melhorar suas interações online.

Questões de Segurança

• O apresentador levanta preocupações sobre a segurança das conversas íntimas enviadas à IA, questionando o que aconteceria se essas informações vazassem.

• Ele enfatiza que a segurança deve ser um processo contínuo e não pontual, onde qualquer falha pode resultar em vulnerabilidades críticas.

Metodologia do Teste

• O autor recebeu autorização do dono da plataforma para realizar o teste de penetração (pain test). A primeira regra é entender as funcionalidades antes de atacar.

• Analisou a página inicial da aplicação para identificar planos disponíveis e funcionalidades limitadas no plano gratuito. Isso ajudou a formular cenários de ataque.

Tecnologias Utilizadas

• Descobriu-se que a aplicação foi desenvolvida em React e está hospedada na Netlify com backend no Supabase, facilitando o desenvolvimento mas também apresentando riscos se mal configurado.

• O RLS (Row Level Security) é crucial para determinar quem pode acessar ou modificar dados; um deslize nessa configuração pode expor informações sensíveis.

Mapeamento Inicial

• Usou ferramentas do navegador para mapear endpoints diretamente no código cliente sem necessidade de hacking avançado, apenas acessando os arquivos JavaScript através das ferramentas de desenvolvedor.

• Identificou endpoints relevantes como Gemini Analyze e outros relacionados ao envio de emails durante essa fase inicial de mapeamento.

Testes Práticos na Aplicação

• Criou uma conta temporária para testar as funcionalidades da aplicação como usuário gratuito e utilizou Burp Suite para interceptar requisições feitas pela aplicação.

• Ao enviar um print para análise, percebeu que algumas opções estavam borradas devido às limitações do plano gratuito; isso indicava uma falha no tratamento das permissões apenas no lado do cliente.

Vulnerabilidades Encontradas

• Constatou que o front-end fazia requisições sem limitar adequadamente as respostas baseadas nas permissões dos usuários; isso representa um problema comum em muitas aplicações web.

• Tentativas de acessar mensagens de outros usuários foram frustradas pelo bom uso do RLS na configuração da aplicação, mostrando que essa parte estava bem protegida apesar das outras falhas encontradas até então.

Exploração do Endpoint Crítico

• Investigou o endpoint Gemini Analyze mais profundamente por ser central à funcionalidade da IA; descobriu formas potencialmente perigosas de manipular requisições sem autenticação adequada usando prompts escondidos dentro dos dados enviados à IA.

Burla ao Processo de Pagamento

• Para obter acesso ao plano Pro sem pagamento, analisou o fluxo da plataforma Cacto usada para processar pagamentos e buscou vulnerabilidades nos webhooks associados a esse processo.(579]

• Após várias tentativas com wordlists, conseguiu simular um pagamento aprovado alterando parâmetros específicos na requisição enviada ao webhook correspondente.(681]

Considerações Finais sobre Segurança

• Apesar das vulnerabilidades encontradas durante os testes, ressaltou que muitos aspectos da segurança estavam bem implementados; ainda assim alertou sobre a importância contínua dos testes por profissionais qualificados.(726]

• Enfatizou que mesmo pequenas falhas podem levar a grandes problemas se não forem tratadas adequadamente.(749]

• Concluiu destacando a necessidade constante por melhorias nas práticas de segurança em aplicações modernas impulsionadas por IA.(772]