ຄວາມສາມາດໃນການຄວບຄຸມໂມເດັມຂອງຜູ້ຈອງ ISP Cox ຫຼາຍລ້ານຄົນໂດຍບໍ່ມີການກວດສອບຄວາມຖືກຕ້ອງ

ລູກຄ້າຂອງ Cox Communications, ຜູ້ໃຫ້ບໍລິການໂທລະທັດເຄເບີນທີ່ໃຫຍ່ທີ່ສຸດອັນດັບສາມໃນສະຫະລັດແລະຫນຶ່ງໃນຜູ້ໃຫ້ບໍລິການບໍລະອົດແບນທີ່ໃຫຍ່ທີ່ສຸດທີ່ມີຜູ້ຈອງ 6.5 ລ້ານຄົນ, ໄດ້ເຜີຍແຜ່ຜົນຂອງການທົດລອງກັບ Web API ພາຍໃນຂອງຜູ້ໃຫ້ບໍລິການ, ສາມາດເຂົ້າເຖິງການຮ້ອງຂໍພາຍນອກແລະນໍາໃຊ້, ໃນບັນດາສິ່ງອື່ນໆ. , ສໍາລັບການຊ່ວຍເຫຼືອ desk ການເຂົ້າເຖິງໂມເດັມຈອງແລະຖານຜູ້ໃຊ້. ມັນໄດ້ຫັນອອກວ່າຮູ້ພຽງແຕ່ທີ່ຢູ່ MAC ຂອງອຸປະກອນຈອງ, ທ່ານສາມາດຄວບຄຸມໂມເດັມໄດ້ຢ່າງເຕັມທີ່, ຊ່ວຍໃຫ້ທ່ານສາມາດປ່ຽນການຕັ້ງຄ່າແລະປະຕິບັດຄໍາສັ່ງໃດໆໃນໂມເດັມ. ໂດຍພື້ນຖານແລ້ວ, ຜູ້ໂຈມຕີສາມາດເຂົ້າຫາໂມເດັມໄດ້, ຄ້າຍຄືກັບການເຂົ້າເຖິງດ້ານວິສະວະກຳທີ່ໜ່ວຍຊ່ວຍເຫຼືອຂອງຜູ້ໃຫ້ບໍລິການໄດ້ຮັບ.

ເປັນທີ່ສັງເກດວ່າທີ່ຢູ່ MAC ຂອງອຸປະກອນຜູ້ຈອງສາມາດພົບໄດ້ໂດຍການເຂົ້າເຖິງ Web API ສາທາລະນະໂດຍບໍ່ມີການຢືນຢັນ, ການນໍາໃຊ້ຫນ້າທີ່ຄົ້ນຫາຜູ້ຈອງ, ສໍາລັບຕົວຢ່າງ, ໂດຍການເລືອກອີເມວຫຼືເລກບັນຊີ (ໂດຍການຊອກຫາຕົວເລກ, ທ່ານສາມາດດາວໂຫລດໄດ້ຕາມລໍາດັບ. ຂໍ້​ມູນ​ລູກ​ຄ້າ). ນອກເຫນືອໄປຈາກທີ່ຢູ່ MAC, ຂໍ້ມູນອື່ນໆກ່ຽວກັບຜູ້ຈອງແມ່ນສະແດງ, ລວມທັງທີ່ຢູ່, ເບີໂທລະສັບ, ຊື່ເຕັມແລະອີເມວ. ຂໍ້​ມູນ​ທັງ​ຫມົດ​ແມ່ນ​ມີ​ສໍາ​ລັບ​ການ​ຮ້ອງ​ຂໍ​ຈາກ​ເຄືອ​ຂ່າຍ​ພາຍ​ນອກ​ໂດຍ​ບໍ່​ມີ​ການ​ກວດ​ສອບ​. ໃນກໍລະນີນີ້, ຂໍ້ມູນບໍ່ພຽງແຕ່ສາມາດໄດ້ຮັບ, ແຕ່ຍັງມີການປ່ຽນແປງ. ໃນຈໍານວນທັງຫມົດ, API ທີ່ສາມາດເຂົ້າເຖິງສາທາລະນະມີຫຼາຍກ່ວາ 700 handlers, ຈໍານວນຫຼາຍປະຕິບັດການດໍາເນີນງານການບໍລິຫານ.

ຕົວກໍານົດການເຂົ້າລະຫັດຖືກນໍາໃຊ້ເພື່ອກວດສອບການສົ່ງຄໍາສັ່ງແລະການຕັ້ງຄ່າໄປຍັງໂມເດັມຂອງຜູ້ໃຊ້, ແຕ່ຟັງຊັນການເຂົ້າລະຫັດໄດ້ຖືກພົບເຫັນຢູ່ໃນຫນຶ່ງຂອງສະຄິບ JavaScript ສະຫນອງໃຫ້ໂດຍ webcdn-business.cox.com. ລະຫັດການເຂົ້າລະຫັດໄດ້ຖືກກໍານົດໂດຍການຕັ້ງຈຸດຢຸດກ່ຽວກັບຫນ້າທີ່ເຫຼົ່ານີ້ຢູ່ໃນຕົວແກ້ໄຂ JavaScript ຂອງຕົວທ່ອງເວັບໃນລະຫວ່າງການລົງທະບຽນຢູ່ໃນເວັບໄຊທ໌ myaccount-business.cox.com. ລະ​ຫັດ​ການ​ເຂົ້າ​ລະ​ຫັດ​ໄດ້​ຖືກ​ສ້າງ​ຂຶ້ນ​ໂດຍ​ນໍາ​ໃຊ້​ທີ່​ຢູ່ MAC​, ID ອຸ​ປະ​ກອນ​ແລະ​ເລກ​ບັນ​ຊີ​ຜູ້​ໃຊ້​, ເຊັ່ນ​ດຽວ​ກັນ​ກັບ​ຕົວ​ກໍາ​ນົດ​ການ​ຊ່ວຍ​ເຫຼືອ​ຈໍາ​ນວນ​ຫນຶ່ງ​, ເຊັ່ນ​: ຮູບ​ແບບ​ອຸ​ປະ​ກອນ​ແລະ​ປະ​ເພດ​ຂອງ​ການ​ເຂົ້າ​ເຖິງ​.

ສະຖານະການການໂຈມຕີໄດ້ຕົ້ມລົງໄປຫາການຊອກຫາຜູ້ເຄາະຮ້າຍໂດຍຜ່ານ Web API ສາທາລະນະ, ໂດຍໃຊ້ຄໍາຮ້ອງຂໍຊື່, ເບີໂທລະສັບ, ອີເມວຫຼືເລກບັນຊີ. ຕໍ່ໄປ, ຜູ້ໂຈມຕີເຂົ້າເຖິງ Web API ເພື່ອດາວໂຫລດຊຸດເຕັມຂອງຂໍ້ມູນສ່ວນຕົວຂອງຜູ້ຈອງ, ໂດຍໃຊ້ UUID ທີ່ໄດ້ຮັບໃນລະຫວ່າງການຄົ້ນຫາໃນຂັ້ນຕອນທໍາອິດ. ການນໍາໃຊ້ທີ່ຢູ່ MAC ຂອງໂມເດັມ, ລະບຸໄວ້ໃນຂໍ້ມູນຜູ້ຈອງ, ຜູ້ໂຈມຕີສາມາດເບິ່ງລາຍຊື່ອຸປະກອນທີ່ເຊື່ອມຕໍ່ກັບໂມເດັມ, ປ່ຽນພາລາມິເຕີໃດໆໃນໂມເດັມ, ຮ້ອງຂໍລະຫັດຜ່ານທີ່ໃຊ້ໃນການເຊື່ອມຕໍ່ Wi-Fi ແລະປະຕິບັດຄໍາສັ່ງໃດໆໃນອຸປະກອນ. ທີ່ສາມາດຖືກນໍາໃຊ້, ສໍາລັບການຍົກຕົວຢ່າງ, ໃນການຈັດຕັ້ງການວິເຄາະຫຼືການປ່ຽນເສັ້ນທາງຂອງການຈະລາຈອນຂອງຜູ້ໃຊ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru