अराजकता निर्माण 2011 में संवेदनशील सूचना प्रकटीकरण

नहीं बहुत पहले सेंट पीटर्सबर्ग में कैओस कंस्ट्रक्शन 2011 आयोजित किया गया था - कंप्यूटर कला का त्योहार। त्योहार की एक आधिकारिक साइट है । इस साइट पर, मैंने पूर्ण पथ का खुलासा किया , साथ ही डेटाबेस की संरचना के बारे में कुछ जानकारी का खुलासा किया। यह त्योहार से कुछ दिन पहले ही पाया गया था। लेकिन, चूंकि मैं एक वक्ता था, इसलिए मैंने पहले इस बारे में जानकारी प्रकाशित नहीं की थी। और अभी कर रहा हूं।

यह सब इस तथ्य से शुरू हुआ कि "सेमिनार" अनुभाग में मैं यह देखना चाहता था कि मेरी रिपोर्ट के लिए किसने पंजीकरण कराया था । वैसे, अगर किसी को याद है, तो यह जानकारी केवल पंजीकृत उपयोगकर्ताओं के लिए उपलब्ध थी। किसी भी मामले में, जैसा कि साइट के रचनाकारों द्वारा कल्पना की गई है। लेकिन, वास्तव में, आप केवल लिंक पर क्लिक करके डेटा प्राप्त कर सकते हैं। एक और बात यह है कि लिंक को अपंजीकृत उपयोगकर्ताओं को नहीं दिखाया गया था।

इस तरह के एक लिंक डिजाइन को देखकर, मेरे हाथों को इसके साथ खेलने के लिए थोड़ा कंघी किया गया था: party11.cc.org.ru/seminar_info.php?id='53

और इस तरह की तस्वीर मेरे सामने आई:



जैसा कि आप देख सकते हैं, साइट की स्थापना पथ (सर्वर पर भौतिक स्थान), साथ ही डेटाबेस की संरचना के बारे में कुछ जानकारी के बारे में जानकारी सामने आई है।

सबसे पहले, मैंने सोचा कि वास्तव में मैं क्या देख रहा था। लेकिन, ब्राउज़र एड्रेस बार को देखते हुए, मैंने पाया कि मुझे पृष्ठ पर पुनः निर्देशित किया गया था: party11.cc.org.ru/_shared/p_error.php जैसा कि यह निकला, इस पृष्ठ पर जाने से भी यह व्यवहार हुआ। जाहिर है, SQL- इंजेक्शन या कुछ और करना संभव नहीं था।

त्रुटि पाठ के भाग के लिए एक Google खोज: "plFetchMailTemplate()" हमें इस भेद्यता के अपराधी की ओर ले जाता है (यदि आप इसे कॉल कर सकते हैं)। यह सीएमएस पार्टीमेस्टर का निकला । इस सीएमएस के उपयोग की जानकारी भी त्यौहार वेबसाइट द्वारा ही पुष्टि की जाती है:

• पृष्ठ के अंत में पाठ है: powered by partymeister engine
• और पृष्ठ के स्रोत कोड में लाइनें हैं:

Google में मैंने कई और साइटों को खोजने में कामयाबी हासिल की है जिनकी समस्या समान है। लेकिन, जब मैं आज फिर उनके पास गया, तो त्रुटि जारी नहीं की गई थी। शायद पहले से ही अपडेट है।

यह उल्लेखनीय है कि पार्टीमिस्टर चैंज में इस भेद्यता को बंद करने के बारे में कोई जानकारी नहीं है। इसलिए, कोई डेटा नहीं है कि इस सीएमएस के कौन से संस्करण वर्णित समस्या के लिए अतिसंवेदनशील हैं।

त्योहार के प्रतिनिधियों को समस्या के बारे में सूचित किया गया था। लेकिन उनकी साइट पर परिवर्तन अभी तक नहीं हुआ है।