Erinnert ihr euch, dass ich und auf meinem , wie die Details der Zahlungen zugunsten der GIBDD und FSSP von Benutzern der Websites öffentlich zugänglich wurden? оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net und oplata-fssp.ru?
Aber macht bitte keine Witze, das ist wirklich kein Scherz - derselbe Server mit den Daten desselben Systems war wieder für die ganze Welt zugänglich.
Nun, lass uns anfangen zu klären ...
Haftungsausschluss: Alle Informationen, die nachfolgend veröffentlicht werden, dienen ausschließlich Bildungszwecken. Der Autor hat keinen Zugang zu personenbezogenen Daten Dritter und Unternehmen erhalten. Die Informationen stammen entweder aus öffentlichen Quellen oder wurden dem Autor von anonymen Wohlwollenden zur Verfügung gestellt.Um zunächst die Chronologie der Ereignisse zu erinnern:
- In der Nacht vom 12.04.2019 wurde ein Elasticsearch-Server entdeckt, der keine Authentifizierung für die Verbindung erforderte.
- Am Morgen des 13.04.2019 wurde eine Benachrichtigung an die Serverinhaber gesendet.
- Am Nachmittag des 13.04.2019 wurde der Server stillschweigend aus dem öffentlichen Zugang entfernt.
Zum Zeitpunkt der ersten Schließung des Servers sahen die Elasticsearch-Indizes so aus:
Und am 21.05.2019 gegen 16:00 Uhr (MSK) tauchte derselbe Elasticsearch-Server mit denselben (plus neuen) Indizes wieder im öffentlichen Zugang auf:
Ich konnte meinen Augen nicht trauen, als ich (gleich nach dem Auftritt bei PHDays zum Thema Entdeckung offener Datenbanken) eine Benachrichtigung von unserem in meinem Posteingang sah. Um ehrlich zu sein, war mein erster Gedanke, dass es sich um einen Systemfehler handelte.
Es war jedoch kein Fehler, und nach manueller Überprüfung habe ich um 01:25 Uhr am 22.05.2019 erneut eine Benachrichtigung an dieselben Adressen gesendet wie beim ersten Mal.
Seit der ersten Schließung wurde dieser Server 11 Mal von Shodan gescannt, und bis zum 21. Mai war Elasticsearch darauf gesperrt.
Nur am Morgen des 24.05.2019 verschwand dieser Elasticsearch das zweite Mal aus dem öffentlichen Zugang. In dieser Zeit hatten die Indizes erheblich zugenommen:
Wenn man sich die Daten (nur signifikante Informationen, die personenbezogene Daten enthalten) in den Indizes im Zeitraum vom 1. bis 22. Mai ansieht, ergibt sich folgendes Bild:
- 127.525 Datensätze im Index paygibdd
- 49.627 Datensätze im Index shtrafov-net
- 162.282 Datensätze im Index oplata-fssp
- 220.201 Datensätze im Index gosoplata
Beispiel für Daten aus dem Index gosoplata:
Beispiel für Daten aus dem Index paygibdd:
Die Kirschensituation war ein Schreiben von einer der Adressen, an die ich Benachrichtigungen geschickt habe:
Wir haben Ihre Nachricht über das offene ElasticSearch erhalten - danke für die Informationen, die Datenbank wurde geschlossen. Der Systemadministrator, der den Zugang erneut geöffnet hat, wurde entlassen. Auch der Rechtsdienst bereitet eine Anzeige an das Innenministerium der Republik Tatarstan wegen des Vorliegens von Anzeichen in den Handlungen des Systemadministrators gemäß den Artikeln 272 und 273 des Strafgesetzbuchs der Russischen Föderation vor.
Nachrichten über Datenlecks und Insider findet man immer auf meinem Telegram-Kanal „»: .
Quelle: habr.com
