Захар Бревняков: «Нам дали задание подготовиться к контрольной»

14:37, 5 декабря 2018

Ученик вузовского лицея нашел уязвимость на сайте с тестами для школьников

Лицеист СУНЦ УрФУ Захар Бревняков устранил уязвимость и написал автору учебника, предложив свое решение. Фото: Владимир Петров

Ученик 10-го математико-информационного класса специализированного учебно-научного центра УрФУ Захар Бревняков нашел уязвимость на сайте с тестами для школьников Константина Полякова и помог создателю закрыть ее.

«Нам дали задание подготовиться к контрольной работе на следующий день. Дали ссылку на тест. После того, как я решил задания и нажал на кнопку „проверить ответы“, мне мгновенно показали, что правильно, а что — нет. И я понял, что все происходит у меня в браузере, а не где-нибудь на сервере, — рассказывает Захар. — Как правило, когда вы нажимаете кнопку и устанавливается связь с сервером, на это необходимо минимум полсекунды, в редких случаях секунда. А так как я раздавал интернет с телефона на ноутбук, то все должно было быть довольно долго. И я понял, что могу посмотреть исходный код страницы, и там все будет видно. Я немного порылся — у меня есть некоторый опыт в web-программировании — и все нашел».

Захар устранил уязвимость и написал автору учебника, предложив свое решение. Автор учебников и тестов — профессор кафедры автоматики и измерений Санкт-Петербургского государственного морского технического университета Константин Поляков. Многие школьники решают его задачи, в том числе и лицеисты СУНЦ УрФУ.

«Мы не получаем оценки за то, что решаем эти тесты. Я занимался исключительно для самоподготовки, — говорил Захар. — Так как у меня было готово решение, как можно эту уязвимость закрыть, я решил, почему бы не написать автору сайта. Я написал ему, прикрепил файл, который производит взлом, чтобы ему было понятно, какой алгоритм приводит все в работу».

Константин Поляков честность школьника оценил и прислал директору СУНЦ УрФУ Андрею Мартьянову благодарственное письмо.

«Захар обнаружил на сайте уязвимость в онлайн-тестах, позволяющую при некоторых условиях сразу узнать правильные ответы, и сообщил о ней. Весьма ценно, что после этого он не только предложил способ закрыть эту уязвимость, но и реализовал его программно — написал скрипт для конвертации онлайн-тестов в новый формат, — сообщает Поляков. — Хочу пожелать всяческих успехов Захару, его учителям и СУНЦ УрФУ, в котором воспитываются такие квалифицированные будущие специалисты в области информационных технологий».

Программировать Захар начал учиться в 12 лет самостоятельно. Искать уязвимости лицеист тренировался, принимая участие в олимпиаде по кибербезопасности QCTF. Также Захар — участник Уральских проектных смен 2017 и 2018 годов, которые организует университет.

«УрФУ создает условия для одаренных школьников, которые могут и хотят реализовывать свои таланты, амбиции, — поясняет заместитель первого проректора УрФУ Надежда Терлыга. — Именно для таких детей мы ежегодно организуем и проводим Уральские проектные смены, где школьники вместе со студентами, учеными и представителями предприятий могут проявить свой талант и продемонстрировать инновационные идеи».