विभिन्न कंपनियों की प्रतिक्रिया उनके संसाधनों की कमजोरियों के लिए

इस पोस्ट में, मैंने आईटी सुरक्षा के क्षेत्र में अपने शोध के बारे में थोड़ी बात करने का फैसला किया।
कुछ कंपनियों को लेख में नाम नहीं दिया जाएगा, ताकि "छवि" खराब न हो।

ऐसे संसाधन जिनमें कमजोरियाँ पाई गईं: aa.mail.ru, nag.ru, graph.document.kremlin.ru, sencha.com, parallels.com, volgogsm.ru, next-one.ru, साथ ही टूर ऑपरेटर X, और एक। गजप्रोम सहायक कंपनियों से।

लंबे समय से मुझे विभिन्न संसाधनों के सुरक्षा अध्ययन करने का शौक है। मुझे उनमें से अधिकांश का उपयोग खुद करना था और यह पता लगाना दिलचस्प था कि मेरा डेटा सुरक्षित था या नहीं।

1. aa.mail.ru पर भेद्यता

जैसा कि सभी जानते हैं, mail.ru ने आर्काइव गेम लॉन्च किया है। हम यहां चर्चा में नहीं जाएंगे कि क्या यह अच्छा है, और लॉन्च कितना सफल रहा। साइट पर aa.mail.ru, एक गिल्ड पंजीकरण और खोज सेवा उपलब्ध थी। एक खोज खोज क्वेरी में सबसे आम भेद्यता sql इंजेक्शन है। और यद्यपि क्वेरी फिल्टर का उपयोग किया जाता है, उदाहरण के लिए, आईपी के साथ प्रतिबंध लगाने का अनुरोध / "यूनियन चयन" के साथ, आप उन्हें बायपास कर सकते हैं और अन्य साइट तालिकाओं से डेटा आउटपुट प्राप्त कर सकते हैं।

पता लगाने के तुरंत बाद, मैंने support@corp.mail.ru और security@corp.mail.ru मेलबॉक्सों को लिखा। हालाँकि, एक दिन के बाद भी, मेरे पत्रों का कोई जवाब नहीं था, सिवाय उनके सिस्टम में स्वचालित टिकट संख्या के। भेद्यता अभी भी साइट पर थी। उसके बाद, मैंने aa.mail.ru फोरम पर mail.ru प्रशासन के व्यक्तिगत संदेशों में लिखा। जिस पर उन्होंने उत्तर दिया कि उन में लिखना आवश्यक था। उनके खेल के लिए विशेष रूप से समर्थन, न केवल mail.ru. और उन्होंने वहां टिकट लिखने के लिए भेजा। खैर, मैंने इसे लिखा था। टिकट दूसरे दिन के लिए "परिचालन में" था, जबकि गिल्ड सेवा भी बंद नहीं थी। और फिर कल - अंत में इसे बंद कर दिया गया था। इसके अलावा, क्लोजर का शब्दांकन आ.मेल । Com /news/309936.html है । और अब मुख्य बात यह है कि मेरा टिकट अभी भी "काम पर" लटका हुआ है।

नीचे पंक्ति: छेद बंद है। उन्होंने धन्यवाद भी नहीं कहा

यूपीडी नीचे की टिप्पणियों से पारस्परिक रूप से लाभकारी शर्तों पर सहमत हुए।

2. nag.ru पर भेद्यता

एक बार, मैंने स्थायित्व के लिए nag.ru की जांच करने का फैसला किया। मेरे अंतहीन चगरिन के लिए, मंच के उपडोमेन पर केनल मिसकॉन्फ़्स पाए गए। अर्थात्, मंच के नए संस्करण के साथ एक परीक्षण स्टैंड और व्यवस्थापक के मानक पासवर्ड के साथ प्रदर्शित किया गया था। सबसे बुरी बात यह थी कि सभी उप-डोमेन एक उपयोगकर्ता की ओर से चलाए गए थे, और परीक्षण मंच तक व्यवस्थापक पहुंच प्राप्त करने के बाद, मुझे सभी उप-डोमेन की फ़ाइलों तक पहुंच मिली। Nag.ru प्रशासन के सभी संदेशों को प्रतिक्रिया नहीं मिली। टॉले अक्षर स्पैम में उड़ गए, फेल्ट्स उन्हें नहीं पढ़ते हैं। किसी भी मामले में, यह छेद अब बंद हो गया है।

नीचे पंक्ति: छेद बंद है। प्रशासन ने सभी पत्रों की अनदेखी की।

3. graph.document.kremlin.ru में भेद्यता

फिर से गलतफहमी। पासवर्ड के बिना एक व्यवस्थापक पैनल उपलब्ध था। व्यवस्थापक पैनल में फरमानों के पाठ को बदलना, सिस्टम के बारे में नई + तकनीकी जानकारी लिखना संभव था।

निचला रेखा: मेरे पत्र का भी जवाब नहीं दिया गया था, लेकिन छेद को एक दिन के लिए बंद कर दिया गया था।

4. sencha.com पर भेद्यता

प्रशासन के प्रति उदासीनता का एक तुच्छ मामला भी। सार्वजनिक कारनामों के सामने आने के बाद उन्होंने 3 महीने के लिए वल्बलेटिन का टपका हुआ संस्करण छोड़ दिया।
सबसे दुखद बात यह है कि बहुत सारे लोग इस संसाधन का उपयोग करते हैं। बड़ी कंपनियों के विशेषज्ञ, और पासवर्ड स्पष्ट रूप से वहां संग्रहीत किए गए थे।

निचला रेखा: अक्षरों को अनदेखा किया जाता है, भेद्यता लंबे समय के बाद तय की जाती है।

5. parallels.com पर भेद्यता

फिर से, समानताएं plesk पैनल उत्पाद डेमो पर गलतफहमी पाई गईं। पैनल की अपनी कोई कमजोरियां नहीं थीं। और आपको तुरंत ध्यान देना चाहिए कि स्टैंड एक आभासी मशीन पर है, जो हर कुछ घंटों में एक बार स्वचालित रूप से अपनी मूल स्थिति में लौट आता है। लेकिन डेमो संस्करण ने पैनल की क्षमताओं पर पर्याप्त प्रतिबंध नहीं लगाया। नतीजतन, व्यवस्थापक अधिकारों के साथ rdp एक्सेस विंडोज़ सर्वर पर प्राप्त की गई थी। सर्वर पर जो अजीब था वह इंटरनेट था, और प्रबंध सर्वर पर एक फ़ोल्डर लिखने योग्य था।
मैंने एक पत्र भेजा और लगभग तुरंत एक प्रतिक्रिया मिली। स्काइप पर बातचीत के बाद, डेमो पैनल को कैसे सीमित किया जाए, इस पर विकल्प प्रस्तावित किए गए थे।

नीचे पंक्ति: भेद्यता आंशिक रूप से सही। एक बोनस के रूप में, समानताएं डेस्कटॉप उत्पाद के लिए 2 लाइसेंस जारी किए गए थे।

6. volgogsm.ru पर भेद्यता

यह स्मार्टस की पूर्व शाखाओं में से एक है, जो अब रोस्टेलकॉम है। इसके अलावा एक गलतफहमी, एक असमर्थित phpmyadmin फ़ोल्डर के रूप में, और रूट के लिए एक पासवर्ड: रूट डेटाबेस
यह सब बिलिंग तक पहुँच की अनुमति देता है, जैसा कि ओएस में एक्सेस अधिकारों की सेटिंग्स में कई त्रुटियां थीं।

नीचे पंक्ति: भेद्यता "धन्यवाद" के लिए तय की गई है।

7. अगली-one.ru पर भेद्यता

यह क्षेत्रीय इंटरनेट ऑपरेटरों में से एक की साइट है। उनके व्यक्तिगत खाते के अध्ययन के दौरान भुगतान कार्डों के पिन कोड की जांच के अनुरोध के बाद अनुरोध में sql इंजेक्शन पाया गया। अनुरोध के चालाक लेखन के परिणामस्वरूप, यह चरित्र द्वारा डेटाबेस चरित्र में किसी भी मूल्य को देखने के लिए निकला। जैसा कि यह निकला, सभी उपयोगकर्ता पासवर्ड स्पष्ट पाठ में संग्रहीत हैं।

नीचे पंक्ति: मुझे 2 बार कॉल करना था। पहली बार जब आप उन लोगों की पहली पंक्ति मारा। समर्थन को जवाब मिला "हां, मुझे परवाह नहीं है। अगर आपके पास इंटरनेट है, तो अलविदा। " दूसरी कॉल पर, मैं उन तक पहुंचने में कामयाब रहा। विभाग। भेद्यता "धन्यवाद" के लिए तय की गई थी।

8. "टूर ऑपरेटर एक्स" पर भेद्यता

कंपनी की छवि को नुकसान न पहुंचाने के लिए, इस कहानी में कंपनी के नाम या लिंक नहीं होंगे।
यह सब इस तथ्य से शुरू हुआ कि मैंने उनकी सेवाओं का उपयोग करने का फैसला किया। और क्योंकि सभी पासपोर्ट डेटा को टूर ऑपरेटर पर भरोसा किया जाता है - मुझे उनकी ताकत की जांच करने में दिलचस्पी थी। जैसा कि यह पता चला है, जावा में बनाई गई साइट में इतनी त्रुटियां हैं कि यह कल्पना करना डरावना है। स्पष्ट रूप से गलत इनपुट डेटा वाले कई पृष्ठ - पथ के प्रकटीकरण के साथ, ढेर के साथ ढेर। टॉमकैट पर, वेब-इंफ़ फ़ोल्डर बंद नहीं किया गया था, जो सभी सर्वलेट पते को प्राप्त करने की अनुमति देता है। इसके अलावा, orc के आधार से एक उपयोगकर्ता नाम और पासवर्ड भी था। पास में कचरे के साथ एक परीक्षण निर्देशिका और एक खुली फाइल इंडेक्स है। इस बकवास के बीच भी साइट पर एक पासवर्ड के साथ uchetka व्यवस्थापक पाया गया था। लेकिन क्लाइमेक्स अलग था। पड़ोसी होस्ट पर, विभिन्न रिसॉर्ट्स से वीडियो प्रसारित करने के इरादे से, एक अप्रयुक्त ओरेकल प्रबंधक की खोज की गई थी, जिसे वेब-इन में पाए गए पासवर्ड द्वारा संपर्क किया गया था। परिणामस्वरूप, ग्राहक आधार, दस्तावेज़ स्कैन, पेरोल आदि के लिए पूर्ण पहुंच प्राप्त की गई थी।
क्योंकि यह रूसी संघ के सबसे बड़े टूर ऑपरेटरों में से एक है - प्रशासन से संपर्क करने के तत्काल प्रयास थे। मेरे 3 पत्रों को बस नजरअंदाज कर दिया गया। जब मैंने उनके ओरेकल से एक स्क्रीनशॉट भेजा, तो उन्होंने आखिरकार मुझे जवाब दिया।

निचला रेखा: अधिकांश भेद्यताएं तय की गई हैं। डेटाबेस तक पहुंच को बंद कर दिया गया था। मुझे अपने दौरे पर 80% से अधिक की छूट मिली।

9. गज़प्रोम की सहायक कंपनी में भेद्यता - संक्षिप्तता के लिए, इसके संगठन को "गैस" कहें

ठीक एक दिन, उन्होंने मुझे फोन किया और "* गैस" में आईटी सुरक्षा के क्षेत्र में नौकरी की पेशकश की। सच है, जब मुझे पता चला कि मैं मास्को में नहीं रहता हूं, तो मैं थोड़ा परेशान था। हालांकि, यह कहते हुए कि उन्होंने मुझे एक अच्छे विशेषज्ञ के रूप में सिफारिश की (जिन्होंने यह नहीं समझा था), उन्होंने अनुपस्थिति में अपनी ताकत का परीक्षण करने की पेशकश की।
विश्लेषण के परिणामस्वरूप, अगली गलतफहमी एफटीपी सर्वर पर पाई गई थी। जो गुमनाम रूप से कनेक्ट करने की अनुमति देता है। इस एफ़टीपी पर ताजा बैकअप 1 सी, पेरोल, कर्मचारियों का व्यक्तिगत डेटा, पासवर्ड के साथ विभिन्न प्रणालियों के कॉन्फ़िगरेशन का ताज़ा बैकअप पाया गया।

निचला रेखा: सिफारिशों के साथ कमजोरता जल्दी बंद हो गई।

निष्कर्ष

लेख में वर्णित मामलों के अलावा, कई और मामले हैं जिनके बारे में मुझे लिखने का आग्रह किया गया था। हालांकि, मैं अपने अनुभव से कह सकता हूं कि लगभग सभी कंपनियों में आईटी सुरक्षा के महत्व के बारे में जागरूकता नहीं है (हम सबसे बड़े इंटरनेट दिग्गजों को ध्यान में नहीं रखते हैं)। कुछ भी उन्हें जानकारी प्रदान करने के लिए नकारात्मक प्रतिक्रिया करते हैं। और आप विभिन्न क्षेत्रों में आईटी विशेषज्ञों के रूप में, मैं आपको हमेशा याद रखने का आग्रह करता हूं: एक्सेस अधिकारों का सही परिसीमन और कॉन्फ़िगरेशन के साथ सावधानीपूर्वक काम करना संसाधन की सुरक्षा का 50% है।