# The path of an Ethical Hacker ## by Paulo Choupina --- It all began in **2007**, before the world economic crisis. **I was 17 and did a lecture, in front of the all-school, about trojans**. Demonstrated the perspective of the attacker and the perspective of the victim. Some of the functionalities of the trojan, how it all work, etc I used PoisonIvy, that a reverse connection trojan, it creates a server executable that you then run on the victim machine, creating the connection to your IP. Because the IP is not static I had to use a dynamic proxy called No-IP. --- I 2013, while I was studying for dentistry I hack into Berkeley.edu using 3 separated SQL Injections. One of them, the commands would run as a user with enough privileges to see the MySQL users data, I had the MySQL root password hash. So back then, there weren't any platforms for white hats, most of the forums were and proud them selfs in beeing black hats. So I just emailed Berkeley's security team and said what I had and if they had interested in me reporting this. They didn't believe me at first, they wanted proof. So I just sent the MySQL root hash. They confirmed the hash and told me that if I responsibility reported the bugs they would give me an official thank you letter as for of acknowledgment/recognition. This changed my life. I knew back then, I wanted to be an ethical hacker, someone that helps other entities by reporting and demonstrating security holes. That would otherwise be used by criminals for self profit. --- # The acknowledgment  I was thrilled! I never had anything like this before, so I just started reporting all the important bugs I could find. Oh and asking for an official thank you letter. xD In 2016 found a SQL Injection in MIT.edu  Ministério da Agricultura  Harvard  Ministério da Sáude, Câmara Municipal do Porto, Ministério da Educação, Cambridge, GNU, toyota, hauwai etc etc. Depois começaram a aparecer plataformas como HackerOne, BugCrowd e OpenBugBounty, que se disponiblisavam a servir de intremediários entre nos e a entidade afectada. Encontrei o meu primeiro bug na yahoo, um sql injection. Pagaram-me! E eu cada vez gostava mais deste mundo. É que eu sempre fiz muita coisa no mundo da segurança mas algumas das brincadeiras podiam ser vistas como eu a quebrar a lei. Mas desde do primeiro report, em 2013 que me decidi a nunca mais fazer nada que comprometa a minha ética. --- Conheci grandes hackers da minha altura: - Tinkode   Era um hacker romeno que dia sim dia nao encontrava falhas em sites importantes e depois invadia e expunha toda a informação na net, o chamado full disclosure mas feito de forma ilegal. Encontrou sql injections no site da MySQL e na Nasa. Foi depois preso e está actualmente a trabalhar numa empresa de segurança onde é director. -TriCk dos TeaMp0isoN  Este gaijo é um génio a nível técnico, invadiu o facebook e alterou a foto de wallpaper de toda a gente num pais do ocidente. Invadia sites de tribunais, e pesquisava por casos de tribunais de pessoas famosas como o Obama, o George G. Bush, Sara Palin etc e depois mandava as informações todas para os jornais e revistas. Invadiu os maiores forums de hackers da altura e publicou as base de dados na net publicamente. Identificou e invadiu, computadores e servers do anonymous e foi por causa da edposição que ele fez dos anonymous que permitiu ao fbi identificar o lider Sabu, que depois trabalhou como infiltrado para prender os outros todos. E hoje em dia esta morto, porque para fugir do tribunal, por ter feito um script que ocupava as linhas de telefone do departamento anti pirataria do reino unido. Foi apanhado e antes de ir a tribunal, fugiu para a Síria e ajudava a ISIS a encontrar americanos que depois eram raptados e executados. Foi o 3º terrorista mais procurado pelos estados unidos e finalmente morto por um drone que destruiu o prédio onde ele estava. --- Como podem ver o caminho que escolhem te diferentes resultados. --- Mais recentemente fui colocado na hall of fame da OLX, por reportar uma falha de cross site scripting reflected  Reportei uma falha para a NASA (de xss também): {%youtube dlzXHX9RNyg %} Quando fiz o video ainda nao percebi muito de javascript e nao precisava de ter usado aquele payload todo. xD --- Já me pagaram para fazer auditorias, ja me pagaram para ensinar segurança, ja estive a trabalhar numa empresa como "informático" onde era responsável pela criação e manutenção do site, criar bots para automatizar o trabalho, criar bases de dados etc etc. --- Por exemplo para a Câmara Municipal de Lisboa, bastou ver o codigo fonte de um ficheiro de configuração para encontrar o login do administrador.  --- Now, I wanting for Microsoft to publish the names of the security researchers that reported a bug in November. They told me they would do it in December and I can't wait to have my name on the list. --- This was the bug: {%youtube XziEYWtmh_s %} --- I'm friends with @BruteLogic that is a XSS Ninja and is a self-employed security researcher, that developed his own tool called knoxss, that automaticly gives you and poc to reporte if you feed im the vulnerability or it's scanner finds it. --- # In conclusion Is was better to be on the right side of the force and don't engane in criminal activity. At least you can be in piece, talk about your acomplishments and sleep like a baby at night.