De Rook a XSS: Como hackeei chess.com com um exploit de novato
Um relato sobre explorar a segurança web do chess.com provoca tanto admiração pelas técnicas sofisticadas de XSS e on-site request forgery do jovem pesquisador quanto preocupação com o modo como bugs sutis de validação de entrada e análise de domínios podem comprometer grandes plataformas. Comentadores comparam o caso a antigos problemas de injeção de HTML da era MySpace, analisam como verificações ingênuas de same-origin e de URL falham e observam salvaguardas do navegador, como os avisos de phishing do Chrome contra subdomínios enganosos. A discussão se expande para visões contrastantes sobre o chess.com com fins lucrativos versus o lichess.org sem fins lucrativos, detecção de trapaça e como o trabalho com bug bounty pode moldar carreiras iniciais, incluindo interesse de grandes empregadores de tecnologia.
Complexidade do exploit e discussão técnica
- Muitos ficaram impressionados com o fato de o exploit estar longe de ser “de novato”: ele encadeava várias fragilidades, burlava a validação, abusava do editor de rich-text e usava subdomínios e redirecionamentos cuidadosamente elaborados.
- Vários comentários observam como é difícil fazer análise de domínios e sanitização de HTML, especialmente quando implementadas com regex em vez de analisadores apropriados.
- O termo “on-site request forgery (OSRF)” é esclarecido como análogo ao CSRF, mas dentro do próprio site.
- As explicações sobre o truque do subdomínio enfatizam que a verificação server-side do chess.com provavelmente usava correspondência ingênua de strings no hostname, e não uma verificação verdadeira de same-origin ou uma allow-list adequada.
- Alguns discutem segurança de cookies e XSS: o cookie principal da sessão era HttpOnly, mas outros dados sensíveis estavam acessíveis em JavaScript; o conselho dado é confiar em bibliotecas de segurança bem avaliadas.
- Editores de rich-text são vistos como “santos graais” do XSS e uma fonte frequente de bugs sutis.
Debate chess.com vs Lichess
- Muitos recomendam o Lichess, elogiando-o por ser gratuito, open-source, sem fins lucrativos, rápido e com ferramentas fortes de análise e um engine baseado em WebAssembly no navegador.
- Outros preferem chess.com pela UX, pela interface de análise, pelos tutoriais e pela percepção de melhor detecção de trapaça e qualidade das partidas.
- As críticas ao Lichess incluem trapaça disseminada, muitos oponentes abandonando partidas e lições menos envolventes.
- As críticas ao chess.com focam em recursos de análise atrás de paywall, acordos de exclusividade com streamers e comportamento com fins lucrativos competindo com uma alternativa sem fins lucrativos.
- Surge uma tangente político-ideológica a partir da marca do Lichess se descrever de forma bem-humorada com termos de inclinação à esquerda, provocando críticas e apoio.
Carreira e ângulo de bug bounty
- Os comentaristas ficam impressionados com a pouca idade e a habilidade do autor, sugerindo forte potencial de carreira em segurança.
- Há discussão sobre indicações para grandes empresas de tecnologia, com divergência sobre a ética de trabalhar para elas.
- Apprenticeships universitários no estilo do Reino Unido são discutidos como uma alternativa forte à universidade tradicional, especialmente em empresas conhecidas.
Integridade do jogo e detecção de trapaça
- Um usuário relata comportamento estranho no chess.com (movimentos sendo feitos por outros quando não estava logado); outros ficam confusos e isso permanece sem esclarecimento.
- Um fio lateral explora a detecção de trapaça: o consenso é que comparar jogadas com recomendações de engines e usar análise estatística é o núcleo, com heurísticas de timing e consistência como complementos.
- Anedotas históricas recordam truques antigos de monitoramento de clientes da era inicial da web, hoje em grande parte obsoletos.