वेब सुरक्षा समस्या या अमेरिका का सबसे सुरक्षित बैंक

सुरक्षा छिद्रों के बारे में बुरी खबर के लिए रूसी कंपनियों की प्रतिक्रियाओं पर MrGrey के लेख से प्रेरित होकर, उन्होंने अमेरिकन बैंक के साथ अपने अनुभव के बारे में बताते हुए अपने खुद के 5 कोपेक जोड़ने का फैसला किया, जिसे यह सबसे सुरक्षित बैंक कहता है और अमेरिका में सबसे बड़े बैंकों में से एक है - और, सामान्य तौर पर, शायद दुनिया का।

यह सब एक क्रेडिट कार्ड के पंजीकरण के बारे में एक बधाई ईमेल के साथ शुरू हुआ - लिंक इसमें काम नहीं कर रहा था, बस एक टाइपो के परिणामस्वरूप (http: // के बाद एक अतिरिक्त स्थान (% 20) डाल दिया गया था)। साइट पर तकनीकी सहायता के ईमेल की असफलता से, मुझे ऑनलाइन चैट में लिखने से बेहतर कुछ नहीं मिला, जहां मुझे समझ नहीं आया।

परेशान, अच्छी तरह से, और कोड को देखकर, जो इनलाइन सीएसएस का एक हैश और js के बादल हैं, मैंने अपने नए बैंक के बारे में Google से राय मांगने का प्रयास किया। साइट जैसी किसी चीज़ की खोज करने के बाद: bankname.com filetype: txt, मैंने पाया ~ 20 पृष्ठ जिस पर स्रोत बैकएंड कोड खोला गया था। ऐसा लगता है कि आपने शॉर्टटैग शामिल नहीं किया है, अर्थात, सभी निर्देशिकाओं की संरचना और लिखने का तरीका तुरंत खोला गया था।

इसके अलावा, Google ने इस अद्भुत बैंक के ढेर सारे ट्रेसबैक पेज दिखाए, ट्रेसबैक ने इस बात की बहुत अच्छी समझ दी कि कौन सा सर्वर चमत्कार बैंक, कौन सी सेवाओं और लाइब्रेरी का उपयोग करता है।

यह सब एकत्र करने के बाद, मैंने इन सभी समस्याओं का वर्णन किया कि कैसे मैंने उन्हें (Google पर लिंक) उन सभी ईमेलों के बारे में बताया जो डोमेन नाम के लिए whois के माध्यम से निर्धारित किए गए थे (यह अन्य ईमेल खोजने के लिए बस असंभव है)। बेशक, कोई जवाब नहीं था, कोड दिखाई दे रहा था, ट्रेसबैक ने संरचना को दिखाया। लेकिन यह मेरा बैंक है, सोच, यह सब एक साथ रखा और फेसबुक पर चमत्कार बैंक के पेज पर लिखा और एक दो ट्वीट भेजे। कोई जवाब नहीं है।

निराश, और यहां तक ​​कि गुस्से में, मुझे एक सामुदायिक मंच वंडरबैंक मिला, वहां त्रुटियों के बारे में एक विषय बनाया, सब कुछ वर्णित किया ... कोई जवाब नहीं था।
कभी-कभी जब मैं किसी विषय को देखने जाता था, तो मैंने पाया कि विषय के कोने में एक मज़ेदार काउंटर है जो बेवकूफी से पेज लोड की संख्या को गिनता है।

फिर, दो बार सोचने के बिना, मैंने कोड की कुछ पंक्तियाँ लिखीं, जिन्होंने पृष्ठ को पृष्ठभूमि में अपडेट किया, जैसे कुछ:

#!/bin/bash
for i in {1..99999999}
do
echo "done $i"
wget -qO- topicUrl &> /dev/null
done


60,000 हजार "विचारों" पर, दो कर्मचारियों ने तुरंत मुझे जवाब दिया कि वे सब कुछ पास कर देंगे, और उन्हें शर्म आ रही थी कि उन्हें जवाब नहीं दिया गया था।
खैर, मुझे खुशी है ... लेकिन उनके सामुदायिक मंच का उपयोग करने की प्रक्रिया में, मुझे कुछ और छोटे धब्बे / विवरण मिले, जिनके बारे में मैंने लिखा था।

तब उन्हें पता चला कि सामान्य तौर पर इस मंच पर चित्रों का सम्मिलन किसी तरह से इतने गलत तरीके से अक्षम किया गया था कि यह अक्षम हो गया था। सभी प्रशासकों ने इसका प्रदर्शन किया, जिसमें बताया गया था कि कैसे ओपेरा ने चित्रों में जेएस को निष्पादित करने की अनुमति दी थी।

जेएस निष्पादन के अलावा, किसी कारण के लिए तस्वीर भी उस साइट से जुड़ी / जुड़ी हुई थी, जहां से इसे जोड़ा गया था। और, ज़ाहिर है, इस साइट पर संक्रमण बिना किसी चेतावनी के होता है (मेरी राय में, किसी और का डेटा चुराने का एक शानदार तरीका)।

एक और दिलचस्प मंच विचार एक अनियंत्रित फ़ॉन्ट आकार में है, जो किसी भी तरह सिर्फ सादा बदसूरत है। यह इस स्तर पर किसी को लग सकता है कि मुझे गलती मिल रही है, लेकिन सज्जनों, यह एक बैंक है - एक विशाल अंतरराष्ट्रीय बैंक (मुझे व्यक्तिगत रूप से लगता है कि उन्हें हर चीज का उदाहरण होना चाहिए, न कि इसके विपरीत)।

मुझे इसका कोई जवाब नहीं मिला। एक पत्थर से कई पक्षियों को मारने का फैसला किया (एक शांत बैंक में नौकरी पाएं और बैंक के तकनीकी लोगों को उनकी परेशानी के बारे में बताएं), मैंने साइट पर प्रकाशित रिक्तियों में से एक के लिए फिर से शुरू करने की कोशिश की। आप क्या सोचते हैं, निश्चित रूप से, मैं सफल नहीं हुआ, जिस सिस्टम को भरने की आवश्यकता थी, वह फ़ील्ड जो html फॉर्म में नहीं थे।

जब मैंने नौकरी के लिए आवेदन किया, तो मैंने निश्चित रूप से खोज की, और मेरे लिए कुछ और उपयुक्त पाया - यह LAMP है। जो, मेरी टिप्पणियों को देखते हुए, चमत्कार बैंक ने उपयोग नहीं किया (जो बाहर से खुला था - सब कुछ जावा देखा)। सोचने के बाद, मैंने Google से यह पूछने का फैसला किया कि PHP कहाँ है। Google ने वर्डप्रेस के बारे में वंडरबैंक के उप-डोमेन में से एक पर बात की। वहां जाकर, मैंने ओपन wp-admin (bruteforce से कोई सुरक्षा नहीं) और xss के साथ एक पुराना वर्डप्रेस जो पूरी दुनिया के लिए जाना जाता है, की खोज की, जिसे मैंने फिर से चमत्कार बैंक के सामुदायिक मंच पर 5 और पृष्ठों के साथ प्रकाशित किया, जिस पर उनका बैकेंड कोड दुनिया के लिए खोला गया।

इस बैंक की लाचारी में मेरी दिलचस्पी के दौरान, मैंने 13 पोस्ट लिखीं और 2 प्रतिक्रियाएं प्राप्त कीं। जवाब केवल यह था कि जानकारी प्रेषित की जाएगी। और इस तथ्य को देखते हुए कि अधिकांश समस्याएं पहले से ही बंद हैं, जानकारी वास्तव में प्रसारित की गई थी, लेकिन किसी ने मुझे कुछ भी नहीं बताया।

इसलिए सुरक्षा के दृष्टिकोण से परेशानी वैश्विक है।

सामुदायिक बैंक फोरम ।