जब बस क्वेरी मापदंडों को छानना पर्याप्त नहीं है या सार्वभौमिकता के खतरों के बारे में है

सम्मानित कंपनी "रूसी रेलवे" में एक अद्भुत साइट टिकट है ।rzd.ru । कुछ खुरदरापन के बावजूद, साइट अपने मुख्य कार्य के साथ अच्छी तरह से मुकाबला करती है - यह आपको ऑनलाइन टिकट ऑर्डर करने और भुगतान करने की अनुमति देती है।

कुछ समय के लिए मैंने अपने टिकटों का आदेश दिया, और मेरी शोध इकाई केवल पृष्ठ के स्रोत कोड को देखे बिना पास नहीं हो सकी।



आदेश प्रक्रिया के अंत में, जब सब कुछ पहले से ही भुगतान किया जाता है, तो आदेश पृष्ठ प्रदर्शित होता है, जो आपको आदेश संख्या के साथ बारकोड वाले फॉर्म, सहित, अंतर को मुद्रित करने की अनुमति देता है।



इस छवि का पता कुछ इस तरह है:
https://ticket.rzd.ru/isvp/barcode?data=0000000000000&type=Code39&width=1&height=60&checksum=false ।
मैंने जो पहला काम किया, वह डेटा क्षेत्र में मेरी मनमानी संख्या का स्थानापन्न था। परिणाम अनुमानित है - मुझे इस नंबर के लिए एक बारकोड मिला। ठीक है, हमारे पास एक अद्भुत ग्रैच्युटी यूनिवर्सल बारकोड कोडिंग सेवा है। लेकिन क्या यह आरजे के लिए अच्छा है? आगे की खुदाई ...

फिर मैंने डेटा फ़ील्ड को साफ़ किया। परिणाम बारकोड जनरेटर लाइब्रेरी ( बारबेक्यू ) और एप्लिकेशन सर्वर ( IBM WebSphere Application Server ) के नाम के साथ एक स्टैक-ट्रेस है। इसने कितनी जानकारी दी? यह, ज़ाहिर है, सर्वर को तोड़ने के लिए पर्याप्त नहीं है। लेकिन अपने "पासपोर्ट" को किसी बाहरी व्यक्ति को "सड़क पर एक आदमी" दिखाने के लिए सबसे उचित बात नहीं है।

आइए अन्य मापदंडों को देखने की कोशिश करें:

• type = Code39 - यह बारकोड एनकोडिंग का प्रकार है । हम बहुत कम रुचि के हैं।
• चौड़ाई = 1 - टाइप करके हमें पता चलता है कि यह लाइनों की चौड़ाई है।
• ऊंचाई = 60 - जाहिर है, ऊंचाई।
• चेकसम = असत्य - स्पष्ट रूप से अतिरिक्त चेकसम स्ट्रोक जोड़ना।

अब, सिद्धांत रूप में, हमला वेक्टर पहले से ही तैयार है। बारकोड का "ड्राइंग" स्पष्ट रूप से स्मृति में होता है और फिर अनुरोधकर्ता को दिया जाता है। लाइनों की चौड़ाई और ऊंचाई के मापदंडों, डिजिटल कोड की लंबाई को किसी भी तरह से फ़िल्टर्ड नहीं किया जाता है - इसलिए, तुच्छ गणना द्वारा, मापदंडों का चयन किया जाता है जो सर्वर की पूरी रैम को एक दर्जन या दो अनुरोधों के साथ खाते हैं। जब तक वे यह पता नहीं लगा लेते कि मामला क्या है - कुछ घंटे "नीचे"। और अगर ओएस सेटिंग्स गलत हैं, और यह स्वैप करना शुरू कर देता है, तो सर्वर की हार्डवेयर मौत से दूर नहीं।

स्पष्ट कारण के लिए, मैं समाप्त "मृत्यु लिंक" नहीं दे रहा हूं। और मैं पाठक की समझदारी की आशा करता हूं, जिन्होंने यह सत्यापित करना शुरू नहीं किया कि यह वास्तव में ऐसा है, और इस शब्द पर विश्वास किया गया है।

आइए अब हम इस प्रश्न को छोड़ देते हैं कि रूसी रेलवे को किसको और क्यों रिपोर्ट करना आवश्यक है। हमारे लिए, यह एक अच्छा उदाहरण है:

1. फ़िल्टरिंग पैरामीटर न केवल PHP में आवश्यक है, बल्कि जावा में पूरी तरह से "हानिरहित" सेवाओं में भी आवश्यक है;
2. अत्यधिक सार्वभौमिक सेवाएं करना हानिकारक है।

पीएस ए पत्र अग्रिम रूप से साइट के डेवलपर्स को भेजा गया था। विनम्र जवाब है कि "ध्यान में रखा जाएगा" आया है (सम्मान यहाँ), लेकिन समय चल रहा है, और अभी तक "ध्यान में नहीं लिया गया है" (यहाँ एक अपमान है) ...