See olen mina, kirjutan skripti, et loetleda POST-päringu parameetrid aadressile gov.tr, istudes Horvaatia piiri ees.
Kuidas see kõik algas
Mu naine ja mina reisime mööda maailma ja töötame eemalt. Kolisime hiljuti Türgist Horvaatiasse (parim punkt Euroopa külastamiseks). Selleks, et mitte Horvaatias karantiini sattuda, peab sul olema hiljemalt 48 tundi enne sisenemist tehtud tunnistus negatiivse covid testi kohta.
Saime teada, et Istanbuli lennujaamas, kust just välja lendasime, on suhteliselt tulus (2500 rubla) ja kiire (kõik tulemused tulevad 5 tunni jooksul) testi teha.
Lennujaama jõudsime 7 tundi enne väljalendu, leidsime katsepunkti. Nad teevad kõike kaootiliselt: tuled kohale, annad passi, maksad, saad 2 vöötkoodiga kleebist, lähed mobiilsesse laborisse, kus nad võtavad sinult analüüsi tuvastamiseks ühe neist kleebistest. Pärast lahkumist öeldakse teile: minge sellele saidile: , sisestage oma triipkood ja passi 4 viimast numbrit, mõne aja pärast on tulemus.
Aga kui sisestad andmed kohe peale analüüsi läbimist, annab leht vea.
Juba siis hiilisid pähe mõtted “ilusast” UX-ist, milles passiandmetesse sisse sõitnud operaatori suvalise eksimuse korral ei saa kuidagi sinu tulemust teada.
Enne väljalendu
Saabub väljumisaeg, sisestan oma andmed ja vaatan, et nende jaoks on dokumendid juba olemas, kuigi testi tulemust veel pole.
Selge on isegi see, et analüüsid jõudsid laborisse 1.5 tundi tagasi. Aga mu naise andmesisestus annab ikka vea, et kannet ei leitud. Ja mis kõige tähtsam, te ei saa lihtsalt minna ja küsida, mis on valesti, sest. Testi läbisime passikontrolli eelses tsoonis.
Lennule minnes küsiti meilt testitulemusi, kuid õnneks suutsime lennujaama esindajat veenda, et need varsti ilmuvad (näitas neile triipkoode) ja äärmisel juhul läheme karantiini.
Kohe kui lennukile jõudsin, näitas mu kood, et test on negatiivne.
Saabumisel
Ja siit algab lõbu! Kohe kui sisse lendasime ja kohaliku WiFi-ga ühenduse loosime, selgus, et mu naise kirjet andmebaasis pole. Ja piiril endal läheneti dokumentidele väga ettevaatlikult: piirivalve tegi koroonaviiruse testi ja viis selle eraldi ruumi, et kontrollida selle tegelikkust. Otsustasime, et räägime oma usaldusloo nii nagu see on ja uurime, millised võimalused meil on.
Järjekorras seistes otsustasin kontrollida, kas on õiged (minu) ja valed andmed, kuidas valideerimisleht reageerib.
Selgus, et ta saadab postitaotluse aadressile , järgmiste parameetritega:
vöötkoodNo=XX
kimlikNo=YY
kimlikTipi=2
kus vöötkood nr - vöötkoodi number, kimlikNo - isikut tõendav dokument, kimlik Tipi – fikseeritud parameeter, mis on võrdne 2-ga (kui täidetud on ainult kaks esimest välja). Märke polnud näha. Päring tagastas 1 õigete parameetrite (minu andmed) ja 0 valede parameetrite eest.
Postimehe käest proovisin sorteerida 40 kombinatsiooni (äkki ühe tähemärgi viga), aga sellest ei tulnud midagi välja.
Sel hetkel pöördusime piirivalve poole, ta kuulas meie jutu ära ja soovitas karantiini panna. Aga selgelt me ei tahtnud 14 päeva korteris istuda, seega palusime transiittsoonis veidi oodata, et paari tunni jooksul probleem lahendada. Piirivalvur astus meie kohale, läks vaatama, kas saame valgesse tsooni istuda ja ütles pealiku nõusolekul: "okei, paar tundi."
Hakkasin otsima kroonitesti tegijate telefone ja otsustasin paralleelselt testida hullumeelset hüpoteesi: kui sellel süsteemil on nii kohutav UX, siis ei tohiks turvasüsteem hea olla, kuigi gov.tr domeeni.
Selle tulemusena kirjutasin kõnede ajal istudes väikese skripti, mis sorteeris kõik numbrid vahemikus 0000 kuni 9999 väljale kimlikNo. barkodNo meil oli kleebis peal, nii et see ei saanud vale olla.
Kujutage ette minu üllatust, kui isegi pärast 500 pidevat päringut mind ei keelatud ja skript töötas lennujaama WiFi-st 20 päringut sekundis.
Kõned ei andnud erilist edu: mind suunati ühest osakonnast teise. Kuid üsna pea andis skript ihaldatud väärtuse 6505, mis ei sarnanenud passi tegelikule 4 numbrile.
Pärast dokumendi üleslaadimist selgus, et see polnud ilmselgelt minu naise pass (Vene välismaalastel pole isegi selliseid numbreid), kuid kõik muud andmed (sh eesnimi, perekonnanimi ja sünniaeg) on õiged.
Kõige huvitavam on see, et vöötkoodid pole samuti juhuslikud, vaid lähevad peaaegu ükshaaval. Seega võiksin teoreetiliselt leida kontakte, kes said mu naise passi numbri ja üldiselt teiste inimeste privaatandmed sujuvalt välja pumbata.
Aga kell oli 9 hommikul ja öö ilma magamata, jäin veebikohtumisele hiljaks ja olin rõõmus, et meid ilma karantiinita sisse lasti, nii et alustasin just oma teekonda mööda Euroopat.
Allikas: www.habr.com