Помните ли ви? и в моя , как на открит достъп се оказаха подробностите за плащанията в полза на ГИБДД и ФССП от потребители на сайтовете. оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru?
Но не се смейте, това не е шега — същият сървър с данните на същата система отново се оказа открит за целия свят.
Какво, да започваме да разследваме...
Дисклеймър: цялата информация по-долу е публикувана изключително с образователна цел. Авторът не е получил достъп до лични данни на трети лица и компании. Информацията е взета или от открити източници, или е предоставена на автора от анонимни доброжелатели.Първо, нека припомня хронологията на събитията:
- 12.04.2019 (нощта) бе открит сървър Elasticsearch, който не изисква аутентификация за свързване.
- 13.04.2019 (сутринта) беше изпратено уведомление на собствениците на сървъра.
- 13.04.2019 (следобед) сървърът беше "тихо" премахнат от открит достъп.
В момента на затварянето на сървъра индексите на Elasticsearch изглеждаха така:
И ето на 21.05.2019 около 16:00 (МСК) същият сървър Elasticsearch, със същите (плюс нови) индекси отново се появява в открит достъп:
Не повярвах на очите си, когато видях (веднага след лекцията на PHDays на тема откритие на открити бази) в пощата уведомление от нашата . Ако честно, първата ми мисъл беше, че това е някакъв глюк на системата.
Но не, това не беше глюк и след като прегледах всичко ръчно, в 01:25 на 22.05.2019 аз отново изпратих уведомление на същите адреси, на които и в първия път.
От момента на първото затваряне, този сървър е бил сканиран от Shodan 11 пъти и до 21-ви май Elasticsearch на него беше затворен.
Само на 24.05.2019 сутринта този Elasticsearch изчезна от открит достъп за втори път. През това време индексите значително нараснаха:
А ако погледнем на данните (само значима информация, съдържаща лични данни на граждани) в индексите за промеждутъка от 1-ви до 22-ри май, то картината изглежда така:
- 127,525 записа в индекса paygibdd
- 49,627 записа в индекса shtrafov-net
- 162,282 записа в индекса oplata-fssp
- 220,201 записа в индекса gosoplata
Примерни данни от индекса gosoplata:
Примерни данни от индекса paygibdd:
А вишенката на тортата стана писмо от един от адресите, на които изпратих уведомления:
Получихме Вашето писмо за открит ElasticSearch — благодаря за информацията, базата данни е затворена. Системният администратор, повторно отворил достъпа, е уволнен. Също така юрисдата подготвя заявление до МВР на Република Татарстан за признаци за наличие на състава на действията на системния администратор по 272 и 273 статии на УК РФ.
Новини за изтичане на информация и инсайдери винаги можете да намерите в моя Telegram канал «»: .
Източник: habr.com
