Mwen ekri anpil sou dekouvèt baz done aksesib lib nan prèske tout peyi nan mond lan, men prèske pa gen okenn nouvèl sou baz done Ris ki rete nan domèn piblik la. Malgre ke dènyèman sou "men Kremlin an," ke yon chèchè Olandè te pè dekouvri nan plis pase 2000 baz done louvri.
Ka gen yon miskonsepsyon ke tout bagay se gwo nan Larisi ak pwopriyetè yo nan gwo pwojè Ris sou entènèt pran yon apwòch responsab nan estoke done itilizatè. Mwen prese demare mit sa a lè l sèvi avèk egzanp sa a.
Sèvis medikal sou entènèt Ris la DOC+ aparamman jere yo kite baz done ClickHouse ak mòso bwa aksè piblikman. Malerezman, mòso bwa yo gade tèlman detaye ke done pèsonèl anplwaye yo, patnè yo ak kliyan sèvis la te kapab koule.
Premye bagay an premye...
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.
Avèk mwen, kòm pwopriyetè chanèl Telegram la "", yon lektè chanèl ki te vle rete anonim te kontakte epi li te rapòte literalman sa ki annapre yo:
Yo te dekouvri yon sèvè ClickHouse louvri sou entènèt la, ki fè pati konpayi doc+ la. Adrès IP sèvè a matche ak adrès IP kote domèn docplus.ru konfigirasyon.
Soti nan Wikipedya: DOC+ (New Medicine LLC) se yon konpayi medikal Ris ki bay sèvis nan domèn telemedsin, rele yon doktè lakay, depo ak tretman. done medikal pèsonèl. Konpayi an te resevwa envestisman nan men Yandex.
Jije dapre enfòmasyon yo kolekte, baz done ClickHouse la te vreman aksesib lib, e nenpòt moun ki konnen adrès IP la, te kapab jwenn done nan li. Done sa yo prezimableman te tounen mòso bwa aksè sèvis yo.
Kòm ou ka wè nan foto ki anwo a, anplis sèvè entènèt www.docplus.ru ak sèvè ClickHouse (pò 9000), baz done MongoDB pandye gran louvri sou menm adrès IP la (nan ki, aparamman, pa gen anyen. enteresan).
Dapre mwen konnen, yo te itilize motè rechèch Shodan.io pou dekouvri sèvè ClickHouse (apeprè Mwen te ekri separeman) an konjonksyon avèk yon script espesyal , ki tcheke baz done a jwenn pou mank de otantifikasyon epi lis tout tab li yo. Lè sa a, te sanble gen 474 nan yo.
Soti nan dokiman an nou konnen ke pa default, sèvè ClickHouse koute HTTP sou pò 8123. Se poutèt sa, yo wè sa ki genyen nan tab yo, li ase yo kouri yon bagay tankou rechèch SQL sa a:
http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]Kòm yon rezilta nan egzekite demann lan, sa ki ka pwobableman retounen se sa ki endike nan ekran ki anba a:
Soti nan Ekran an li klè ke enfòmasyon ki nan jaden an TÈT gen done sou kote (latitid ak lonjitid) itilizatè a, adrès IP li, enfòmasyon sou aparèy kote li konekte ak sèvis la, vèsyon OS, elatriye.
Si li te rive yon moun pou yon ti kras modifye rechèch la SQL, pou egzanp, tankou sa a:
http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’
Lè sa a, yon bagay ki sanble ak done pèsonèl anplwaye yo ta ka retounen, sètadi: non konplè, dat nesans, sèks, nimewo idantifikasyon taks, enskripsyon ak adrès aktyèl kote rezidans, nimewo telefòn, pozisyon, adrès imel ak plis ankò:
Tout enfòmasyon sa yo ki soti nan Ekran ki anwo a sanble anpil ak done HR ki soti nan 1C: Enterprise 8.3.
Pran yon gade pi pre nan paramèt la API_USER_TOKEN ou ta ka panse ke sa a se yon siy "k ap travay" ak ki ou ka fè plizyè aksyon sou non itilizatè a, ki gen ladan jwenn done pèsonèl li. Men, nan kou mwen pa ka di sa a.
Nan moman sa a pa gen okenn enfòmasyon ki montre sèvè ClickHouse la toujou aksesib gratis nan menm adrès IP la.
Sous: www.habr.com