Индус ломает Microsoft

Для ЪЪ: забрутфорсил вводимый код для восстановления пароля в форме на сайте

Не очень понятно, почему после небольшого числа попыток по его методу система не отбивала следующие попытки в условный час. Но похоже аналогичное было и в инстаграме, да и в многих сервисах

Он IP менял «на ходу». Вот система и «дремала».

Хотя это недоработка, что количество последовательных попыток не привязано к аккаунту. Microsoft же.

Потому что попытки он делал достаточно одновременно (несколько миллионов в пределах миллисекунд), чтобы система не успевала заметить что их много.

за что получил 50 тысяч баксов

а мог бы пожизненно на этом зарабатывать.

Мало дали.

Возможно найдя следующую дыру, он продаст её не в MS.

Наделла? Это давно известно.

Putting all together, an attacker has to send all the possibilities of 6 and 7 digit security codes that would be around 11 million request attempts and it has to be sent concurrently to change the password of any Microsoft accoun

Та нихрена ж себе! Пароль можно брутфорсить, скандалы-интриги-расследования

Кажется их единственная дырка была в отсутствии лока на этой ручке ввиду чего запросы пачкой вполне пролезали через rate limit

Ну если дыру закрыли, тем более 4 месяца назад, какой смысл об этом говорить? На то и награды за обнаруженные уязвимости, чтобы их целенаправленно искали. Google вообще почти ежемесячно выплачивает за свое решето Chrome.

Мало дали.

Нужно было пожизненное давать?

Индус

А почему ты решил что он индус, то есть приверженец индуизма?
Может он христианин, мусульманин или вообще буддист/шиваист/кришнаит/сикх?

Дык он же в Индии живёт, ну.

он же в Индии живёт

в индии живут - индийцы, в первую очередь, а во вторую принадлежность к религии, индуист, сикх, кришнаит и т.д.