เจาะรหัสลับ Spotify: เรื่องเล่าของการค้นพบช่องโหว่ข้ามโฆษณา

หลายครั้งที่การค้นพบสิ่งที่ไม่คาดฝันมักเริ่มต้นจากความสงสัยเล็ก ๆ น้อย ๆ จากประสบการณ์การใช้งานจริง

ในโลกดิจิทัลที่มีแอปพลิเคชันมากมายรายล้อม การสังเกตเห็น ความผิดปกติ เพียงน้อยนิด อาจนำไปสู่การเปิดเผยช่องโหว่ด้านความปลอดภัยที่น่าสนใจ

เรื่องราวต่อไปนี้เป็นตัวอย่างของการเดินทางจากความสงสัยไปสู่การค้นพบช่องโหว่ที่ทำให้สามารถ ข้ามโฆษณา บน Spotify ได้อย่างไร้รอยต่อ

การเดินทางครั้งนี้เริ่มต้นจากการใช้งาน Spotify ตามปกติ

ขณะที่เปิดเพลงฟังเพลิน ๆ บนเว็บเบราว์เซอร์ ได้สังเกตเห็นความแปลกประหลาดบางอย่าง

เมื่อใช้บัญชีฟรีบัญชีหนึ่ง ฟังเพลงไปเรื่อย ๆ ก็พบว่ามีโฆษณาคั่นเป็นประจำตามรูปแบบของบัญชีฟรีทั่วไป

แต่เมื่อลองสลับไปใช้อีกบัญชีฟรีหนึ่งที่ไม่ได้มีการใช้งานบ่อย กลับพบว่าบัญชีนั้นไม่มีโฆษณาคั่นเลย

ทั้งที่สถานะเป็นบัญชีฟรีเหมือนกัน นี่คือจุดเริ่มต้นของคำถามที่ผุดขึ้นมาในใจว่าทำไมถึงเป็นเช่นนั้น

ด้วยความสงสัยว่าทำไมบัญชีฟรีสองบัญชีถึงมีพฤติกรรมแตกต่างกัน จึงตัดสินใจลอง “ขุดคุ้ย” ให้ลึกขึ้นกว่าเดิม

เครื่องมือที่ใช้ในการตรวจสอบคือ Burp Suite ซึ่งช่วยให้สามารถดักจับและวิเคราะห์ข้อมูลที่ส่งผ่านระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ได้

เมื่อใช้ Burp Suite ดักจับคำขอ (request) ที่เบราว์เซอร์ส่งไปยัง Spotify ก็พบพารามิเตอร์ที่น่าสนใจตัวหนึ่งชื่อว่า partner_name

ค่าของ partner_name ในบัญชีฟรีที่ได้ยินโฆษณาจะแตกต่างจากบัญชีที่ไม่มีโฆษณา นี่คือเบาะแสสำคัญ

หลังจากพบพารามิเตอร์ partner_name ที่ดูเหมือนจะเกี่ยวข้องกับสถานะการแสดงโฆษณา การทดลองก็เริ่มต้นขึ้น

ลองปรับเปลี่ยนค่าของ partner_name ในคำขอที่ส่งจากบัญชีฟรีที่ปกติแล้วมีโฆษณาคั่น

โดยเปลี่ยนค่า partner_name ให้เป็นค่าที่พบในบัญชีที่ไม่มีโฆษณา เช่น 'ft-test'

ผลลัพธ์ที่ได้นั้นน่าประหลาดใจอย่างยิ่ง ทันทีที่เปลี่ยนค่าพารามิเตอร์ โฆษณาที่เคยปรากฏคั่นเพลงก็หายไป!

แม้ว่าคุณสมบัติอื่น ๆ ของบัญชีพรีเมียมจะยังไม่เปิดใช้งาน แต่การสามารถ ข้ามโฆษณา ได้สำเร็จนี้ถือเป็นการค้นพบที่มีนัยสำคัญอย่างมาก

เมื่อยืนยันว่าสามารถข้ามโฆษณาได้ จึงได้ทำการรายงานไปยัง Spotify ผ่านโปรแกรม Bug Bounty ของพวกเขา

การตอบสนองเริ่มต้นไม่เป็นไปตามที่คาดหวัง โดยรายงานถูกระบุว่าเป็น “รายการซ้ำ” หรือ “ข้อมูลที่เป็นประโยชน์”

Spotify ชี้แจงว่าปัญหาดังกล่าวเกิดจากการตั้งค่าภายในที่เกี่ยวข้องกับพันธมิตรบางราย ซึ่งพวกเขาทราบและกำลังดำเนินการแก้ไขอยู่แล้ว

แม้จะไม่ได้รับรางวัล Bug Bounty แต่ประสบการณ์นี้ก็เป็นบทเรียนอันมีค่า

ได้เรียนรู้ว่าแม้แต่การสังเกตเล็ก ๆ น้อย ๆ ก็สามารถนำไปสู่การค้นพบที่มีคุณค่าได้

สิ่งสำคัญคือการมีความอยากรู้อยากเห็น การตั้งคำถาม และการใช้เครื่องมือที่เหมาะสม

การทำความเข้าใจผลกระทบของสิ่งที่ค้นพบ รวมถึงวิธีการที่บริษัทจำแนกและประเมินช่องโหว่นั้นสำคัญสำหรับนักล่าบั๊กทุกคน

การเดินทางในการค้นหาช่องโหว่เต็มไปด้วยบทเรียน และทุกการค้นพบไม่ว่าจะเล็กหรือใหญ่ล้วนมีคุณค่าในตัวมันเองเสมอ