שיתוף | מפתחים בBase44? תוודאו שאתם בטוחים🛡️

[אברהם גלסר]

קצת ארוך - אבל שווה את זה, כדאי לקרוא עד הסוף!

אחד הכלים שאני הכי נהנה לבנות בהם אתרים ואפליקציות הוא Base44.
בהתחלה ממש התלהבתי ממנו ופיזרתי דברים שבניתי איתו לכל כיוון, עד שמישהו הסב את תשומת ליבי לפרטים אישיים של משתמשים שדלפו החוצה מהאתר שבניתי בגלל הרשאות קריאה וכתיבה לא תקינות של מאגרי הנתונים שלי.
עד אותו רגע בכלל לא חשבתי על זה וגם הבוט שלהם בעצמו לא חשב על לסדר את ההרשאות ולא הפנה את תשומת ליבי לזה.
זה הגיע למצב שכתובות מיילים, שמות, מספרי טלפון ועוד פרטים של משתמשים באתרים שבניתי פשוט היו חשופים לכולי עלמא.
זה היה חלק אחד שלימד אותי כמה חשוב וצריך לשים לב כל הזמן להרשאות קריאה וכתיבה.
זה היה לפני כמה חודשים ובינתיים שכחתי מהסיפור.

החלק השני היה כשראיתי אתר שמישהו בנה בBase44, ובגלל שהאתר שלו היה בשלבי בנייה - הוא חסם אותו זמנית למשתמשים אורחים.

ראיתי שבשנייה הראשונה האתר עצמו כן נטען ורק אחרי רגע מופיע מסך החסימה.
הלכתי לNetwork וראיתי באמת בקשה בשם "maintenance_mode" שנטענת עם הערך "true" שנייה אחרי שהאתר עצמו נטען.

בפשטות, האתר שואל את השרת אם maintenance_mode פעיל
השרת מחזיר את הערכים של AppSettings, למשל:
maintenance_mode = true
הסקריפט תופס את התשובה לפני שהקוד של האתר קורא אותה ומחליף מקומית ל maintenance_mode=false
ככה מבחינת הקוד שרץ בדפדפן, האתר “חושב” שאין מצב תחזוקה ולכן השכבה של החסימה לא מוצגת וכל האתר מוצג בריש גלי:

נחמד מאוד, טפחתי לי לעצמי על השכם, וראיתי שאם מתחברים ניתן לראות יותר תוכן, אז התחברתי עם חשבון גוגל במסך ההתחברות הרגיל של Base44:

ברגע שהתחברתי ראיתי חסימה נוספת שמופיעה למשתמשים מחוברים שאין להם הרשאת צפייה:

ראיתי שגם בחסימה הזאת, קודם האתר הרגיל נטען ורק אחרי שנייה מופיע מסך החסימה.
כלומר - האתר כן נטען ורק אחרי זה הוא מוודא איזה משתמש נכנס.

שוב הרצתי סקריפט שמנסה לתפוס את הבקשה של השרת ולתת לעצמי כמה שיותר הרשאות:

ו...

הצלחתי להיכנס בתור מנהל🥳

אממה, במצב הנתון אני נחשב מנהל רק בצד הלקוח ולכן מוצג לי האתר שכבר נטען ונחסם לאחר מכן, אבל לערוך את הדברים כמנהל - זה אני לא יכול כי בשביל זה צריך גם אימות של צד שרת כמובן.

מהבחינה הזו - עד כאן הצלחתי להגיע, אבל זה לא נגמר פה.

במהלך כל החיטוטים בנבכי האתר הזה, פתאום גיליתי שהבעלים שלו חבר שלי.
אמרתי, איזה יופי, עכשיו לא איכפת לי לקחת עוד צעד קדימה - fishing attack.

הכנתי אתר בBase44 שנראה בדיוק כמו דף הכניסה לאתר שלו, ושלחתי לו מייל מתחזה, כאילו בשם מערכת התמיכה של Base44.
פתחתי חשבון מייל בשם "base44support@gmail.com", ובהגדרות החשבון שיניתי את השם שמופיע בשליחה שלו ל: "Base44 | Support", שמתי תמונת פרופיל של הלוגו שלהם ועיצבתי מייל שנראה בדיוק כמו המיילים שהם שולחים.
תוצאה סופית:

כשכפתור האימות במרכז מוביל לדף נחיתה שיצרתי בBase44 גם, וזה - כדי שכתובת האתר תהיה די אמינה. מי שיודע, אפשר לבחור סאב דומיין של האתר שלכם תחת base44.app אם הוא זמין, והכתובת "login-app.base44.app" הייתה זמינה!

כשהוא נכנס לקישור הוא מגיע לדף הבא:

שמי שזוכר מלמעלה - נראה מאוד מאוד דומה למקור.
עשיתי שכשלוחצים על התחברות עם גוגל - זה מראה שגיאה ומבקש להזין מייל וסיסמה:

ברגע שהוא לוחץ על שליחה למטה - שני הערכים האלו נשלחים אלי אוטומטית למייל בצורה מסודרת, והוא ממשיך לאתר המקורי של Base44, וככה יש לי את פרטי ההתחברות של המנהל.

זה היה ארוך - אבל שווה את הסיפוק והלמידה.
מקווה שעניין אתכם ושהחכמתם.
אם יש לי טעויות אשמח שתתקנו אותי כדי שגם אני אלמד, וכנ"ל לגבי שאלות הערות והארות - אשמח לקנות כמה שיותר ידע בתחום.

[המלאך]

@אברהם-גלסר זה ידוע שai גרוע באבטחה.
כלל לכל יוצרי הבינות:
אף פעם.
אבל אף פעם!
לא לסמוך על הקוד שלה מבחינה אבטחתית.

Spoiler

תתחדש על התמונות פרופיל..

[אברהם גלסר]

@המלאך אלא אם כן זה Claude Mythos

Spoiler

תודה רבה! כיף להתחדש

[אהרן]

אם ביקשתי ממנה מפורש לשים לב לזה, וכן נתתי את הקוד לעוד בינה, זה אמור להספיק [כל עוד אין לי את תכנית הכור האטומי באתר]? מבחינת חוק שמירת הפרטיות של מאגרי מידע לדוגמא?

[מגנוס קרלסן]

@אברהם-גלסר שאפו!

[אברהם גלסר]

עכשיו אני נזכר לשאול
אם יש למישהו רעיון איך בצורה כל שהיא כן יש דרך לשנות משהו בצד שרת על ידי סקריפט שרץ בצד לקוח אשמח שיכתוב.
או שזה תרתי דסתרי...

[החכם התם]

@אברהם-גלסר לא גילית לנו איך החבר הגיב...

[NH.LOCAL]

@אברהם-גלסר כתב בשיתוף | מפתחים בBase44? תוודאו שאתם בטוחים️:

@המלאך אלא אם כן זה Claude Mythos

ובשונה מה"מיתוס" המקובל, GPT 5.5 ברמת יכולות אבטחה דומות לקלוד מיתוס!

עריכה: למעשה, כנראה שהוא אפילו טוב יותר מקלוד מיתוס ביכולות הגנת סייבר...

להעשרה נוספת:

• https://www.mindstudio.ai/blog/gpt-5-5-vs-claude-mythos-cybersecurity-benchmark-comparison
• https://www.reddit.com/r/accelerate/comments/1t4zfzv/a_new_analysis_on_claude_mythos_capabilities_has/

[יוסף מאיר וייס]

@אברהם-גלסר כתב בשיתוף | מפתחים בBase44? תוודאו שאתם בטוחים️:

מקווה שעניין אתכם ושהחכמתם.

אין לך מושג עד כמה

[אברהם גלסר]

@החכם-התם צודק
הוא באמת פתח את זה ושלח את הפרטים.
כמובן שבאותו רגע יצרתי איתו קשר והסברתי לו את כל הבעיות שיש לו באתר.
הוא נדהם כי הוא חשב שAI יודע לעשות מספיק גדרות אבטחה...

[אברהם גלסר]

@NH.LOCAL כתב בשיתוף | מפתחים בBase44? תוודאו שאתם בטוחים️:

ביכולות הגנת סייבר...

השאלה אם גם במציאת פרצות, זה לא פחות חשוב...

[NH.LOCAL]

@אברהם-גלסר ברור. זה היינו הך.

[המלאך]

@NH.LOCAL ממש לא כזה חד משמעי.
ישנם כמה סוגי יכולות התקפיות.
בחלקם מיתוס' הרבה יותר טוב בפער מgpt.
1 - הראשון והקודם לכל. זרו די, פירצת יום אפס. בזה מיתוס' נראה לוקח בהליכה את gpt. [הוא מצא פרצות אבטחה בני עשרות שנים! בדפדפנים על פי פרסומים].
2 - Exploit Development. פה דווקא gpt לוקח. הוא די חזק בreverse engineering [מה שהבאת @nh.local במאמר הראשון עם ה10 דקות מול 10 שעות.
ויש עוד הרבה.
בחלקם gpt מוביל.
ובחלקם דווקא בעל המיתוס מנצח.
לא נראה לי מדוייק להגיד שgpt יותר טוב מקלוד מיתוס באבטחה.

[דוד 33]

@אברהם-גלסר
אז איך עושים אבטחה בצורה טובה?

[המלאך]

@דוד-33
פעם ראיתי ציטוט בשם פרופסור יוג'ין ספאפורד:
"המערכת המאובטחת היחידה היא כזו שהיא כבויה, יצוקה בתוך בלוק בטון, חתומה בחדר מצופה עופרת עם שומרים חמושים – וגם אז יש לי ספקות לגביה."
לגופו של דיון.
אף פעם אין כזה דבר מאובטחת מספיק.
אבל מדברים רגילים.
אפשר עם הפרומפט הנכון לגרום לAI לבדוק שאין בזה בעיות.

[דוד 33]

@המלאך

אפשר עם הפרומפט הנכון לגרום לAI לבדוק שאין בזה בעיות

אשמח לפרומפט שאכניס בבקשה לAI

[המלאך]

@דוד-33 כתב בשיתוף | מפתחים בBase44? תוודאו שאתם בטוחים️:

אשמח לפרומפט שאכניס בבקשה לAI

איך אני אתן לך?
צריך להתאים ייעודית לפרויקט שאותו אתה עושה.
צריך לדעת בדיוק כל פרט הכי קטן.
להתאים את האבטחה לארכיקטורה.

[אברהם גלסר]

@דוד-33 תכתוב פה פרטים ונעזור...
אם אתה לא רוצה כאן אפשר בפרטי

[NH.LOCAL]

@המלאך כתב בשיתוף | מפתחים בBase44? תוודאו שאתם בטוחים️:

@NH.LOCAL ממש לא כזה חד משמעי.
ישנם כמה סוגי יכולות התקפיות.
בחלקם מיתוס' הרבה יותר טוב בפער מgpt.
1 - הראשון והקודם לכל. זרו די, פירצת יום אפס. בזה מיתוס' נראה לוקח בהליכה את gpt. [הוא מצא פרצות אבטחה בני עשרות שנים! בדפדפנים על פי פרסומים].
2 - Exploit Development. פה דווקא gpt לוקח. הוא די חזק בreverse engineering [מה שהבאת @nh.local במאמר הראשון עם ה10 דקות מול 10 שעות.
ויש עוד הרבה.
בחלקם gpt מוביל.
ובחלקם דווקא בעל המיתוס מנצח.
לא נראה לי מדוייק להגיד שgpt יותר טוב מקלוד מיתוס באבטחה.

אתה בהחלט צודק. בכל מקרה, לפרוייקטים בסדר גודל כאן, אין שום צורך ביכולות אבטחה מטורפות
למעשה גם GPT 5.4 ו-5.3 היו טובים מספיק

כל מה שצריך זה להשתמש ביכולות האלו בפועל. כלומר לבקש מהמודלים למצוא פרצות אבטחה ולתקן אותן

[מתכנת חובב]

@אברהם-גלסר כדאי שתשנה את הכותרת ל "מפתחים עם AI" ולא base44
פשוט משתמע מהכותרת שזאת בעיה בהם