Dìreach latha no dhà air ais bha mi air Habré mu mar a chaidh aig seirbheis meidigeach air-loidhne na Ruis DOC + air stòr-dàta fhàgail le logaichean ruigsinneachd mionaideach san raon phoblach, às am faighear dàta euslaintich agus luchd-obrach seirbheis. Agus seo tachartas ùr, le seirbheis Ruiseanach eile a bheir seachad euslaintich le co-chomhairlean air-loidhne le dotairean - “Doctor Nearby” (www.drclinics.ru).
Sgrìobhidh mi anns a’ bhad, le taing do fhreagarrachd an luchd-obrach Doctor is Near, gun deach an so-leòntachd a chuir às gu sgiobalta (2 uair bhon mhionaid fios air an oidhche!) Eu-coltach ris an tachartas DOC +, far a bheil fios agam gu cinnteach gun tàinig co-dhiù aon fhaidhle json le dàta, 3.5 GB ann am meud, gu crìch anns an “saoghal fhosgailte”, agus tha an suidheachadh oifigeil a ’coimhead mar seo:“Tha beagan dàta air a bhith ri fhaighinn gu poblach airson ùine, agus chan urrainn sin droch bhuaidh a thoirt air luchd-obrach agus luchd-cleachdaidh seirbheis DOC+.".
Còmhla rium, mar neach-seilbh an t-sianail Telegram "", chuir neach-clàraidh gun urra fios agus thug e cunntas air so-leòntachd a dh’ fhaodadh a bhith air an làrach-lìn www.drclinics.ru.
B’ e brìgh na so-leòntachd, le eòlas air an URL agus a bhith san t-siostam fon chunntas agad, gum b’ urrainn dhut dàta euslaintich eile fhaicinn.
Gus cunntas ùr a chlàradh san t-siostam Doctor Nearby, gu dearbh chan fheum thu ach àireamh fòn-làimhe far an tèid SMS dearbhaidh a chuir, gus nach biodh duilgheadas sam bith aig duine logadh a-steach don chunntas pearsanta aca.
Às deidh don neach-cleachdaidh logadh a-steach don chunntas pearsanta aige, b ’urrainn dha sa bhad, le bhith ag atharrachadh an URL ann am bàr seòlaidh a bhrobhsair, coimhead air aithisgean anns an robh dàta pearsanta euslaintich agus eadhon breithneachadh meidigeach.
B’ e duilgheadas mòr a bh’ ann gu bheil an t-seirbheis a’ cleachdadh àireamhachadh leantainneach de dh’ aithisgean agus mar-thà a’ cruthachadh URL bho na h-àireamhan sin:
https://[адрес сайта]/…/…/40261/…
Mar sin, bha e gu leòr an àireamh ceadaichte as ìsle (7911) agus an ìre as àirde (42926 - aig àm an so-leòntachd) obrachadh a-mach an àireamh iomlan (35015) de aithisgean san t-siostam agus eadhon (nam biodh droch rùn ann) luchdachadh sìos iad uile le sgriobtar sìmplidh.
Am measg an dàta a bha ri fhaicinn bha: làn ainm an dotair agus an euslainteach, cinn-latha breith an dotair agus an euslaintich, àireamhan fòn an dotair agus an euslaintich, gnè an dotair agus an euslaintich, seòlaidhean post-d an dotair agus an euslainteach, speisealachadh an dotair , ceann-latha co-chomhairleachaidh, cosgais co-chomhairleachaidh agus ann an cuid de chùisean eadhon breithneachadh (mar iomradh air an aithisg).
Tha an so-leòntachd seo gu ìre mhòr glè choltach ris an fhear a bha air frithealaiche na buidhne microfinance “Zaimograd”. An uairsin, le bhith a’ sgrùdadh, bha e comasach 36763 cùmhnant fhaighinn anns an robh dàta cead-siubhail iomlan teachdaichean na buidhne.
Mar a thuirt mi bhon fhìor thoiseach, sheall luchd-obrach Doctor Nearby fìor proifeiseantachd agus a dh’ aindeoin gun do dh’ innis mi dhaibh mun so-leòntachd aig 23:00 (àm Moscow), bha cothrom air mo chunntas pearsanta dùinte don h-uile duine sa bhad, agus le 1: 00 (àm Moscow) chaidh an so-leòntachd seo a shocrachadh.
Chan urrainn dhomh cuideachadh le bhith a’ breabadh a-rithist roinn PR an aon DOC + (New Medicine LLC). A' cur an cèill"Chaidh beagan dàta fhoillseachadh gu poblach airson ùine“, bidh iad a’ call an fhìrinn gu bheil dàta “smachd amas” againn, is e sin einnsean sgrùdaidh Shodan. Mar a chaidh a chomharrachadh gu ceart anns na beachdan don artaigil sin - a rèir Shodan, ceann-latha a’ chiad rèiteachadh den fhrithealaiche ClickHouse fosgailte air an t-seòladh IP DOC +: 15.02.2019/03/08 00:17.03.2019:09, ceann-latha an rèiteachaidh mu dheireadh: 52/ 00/40 XNUMX:XNUMX:XNUMX. Tha meud an stòr-dàta timcheall air XNUMX GB.
Bha 15 suidheachadh ann uile gu lèir:
15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00Bhon aithris tha e coltach gu bheil airson ùine tha e beagan a bharrachd air mìos, ach àireamh bheag de dhàta tha seo timcheall air 40 gigabytes. Uill chan eil fhios agam…
Ach tilleamaid gu “Tha an Dotair faisg air làimh.”
Aig an àm seo, tha mo paranoia proifeasanta air a shàrachadh le dìreach aon duilgheadas beag a tha air fhàgail - le freagairt an fhrithealaiche gheibh thu a-mach an àireamh de dh'aithisgean san t-siostam. Nuair a dh'fheuchas tu ri aithisg fhaighinn bho URL nach eil ruigsinneach (ach tha an aithisg fhèin ri fhaighinn), tillidh am frithealaiche ACCESS_DENIED, agus nuair a dh’ fheuchas tu ri aithisg fhaighinn nach eil ann, tillidh e GUN A LORG. Le bhith a 'cumail sùil air an àrdachadh anns an àireamh de aithisgean san t-siostam thar ùine (aon uair san t-seachdain, mìos, msaa), faodaidh tu measadh a dhèanamh air eallach obrach na seirbheis agus an àireamh de sheirbheisean a tha air an solarachadh. Chan eil seo, gu dearbh, a’ briseadh dàta pearsanta euslaintich is dhotairean, ach dh’ fhaodadh e a bhith na bhriseadh air dìomhaireachdan malairt na companaidh.
Source: www.habr.com