Androany isika dia hijery tranga roa indray mandeha - ny angon-drakitra momba ny mpanjifa sy ny mpiara-miombon'antoka amin'ny orinasa roa samy hafa dia azo maimaim-poana "noho ny" fanokafana ireo mpizara Elasticsearch miaraka amin'ny logs of information systems (IS) an'ireo orinasa ireo.
Amin'ny tranga voalohany, tapakila an'aliny (ary mety an'hetsiny angamba) ho an'ny hetsika ara-kolontsaina isan-karazany (teatra, klioba, fitsangatsanganana renirano, sns.) amidy amin'ny alΓ lan'ny rafitra Radario (www.radario.ru).
Amin'ny tranga faharoa, ity dia angon-drakitra momba ny fitsangatsanganana mpizahatany an'arivony (mety ho an'aliny maromaro) izay nividy fitsangatsanganana tamin'ny alΓ lan'ny masoivoho fitsangatsanganana mifandray amin'ny rafitra Sletat.ru (www.sletat.ru).
Marihiko avy hatrany fa tsy ny anaran'ireo orinasa nahafahan'ny angon-drakitra navoaka ampahibemaso ihany no samy hafa, fa ny fomba fiasan'ireo orinasa ireo amin'ny fahafantarana ny zava-nitranga sy ny fanehoan-kevitra manaraka izany. Fa ny zavatra voalohany alohaβ¦
ΠΠΈΡΠΊΠ»Π΅ΠΉΠΌΠ΅Ρ: Π²ΡΡ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ Π½ΠΈΠΆΠ΅ ΠΏΡΠ±Π»ΠΈΠΊΡΠ΅ΡΡΡ ΠΈΡΠΊΠ»ΡΡΠΈΡΠ΅Π»ΡΠ½ΠΎ Π² ΠΎΠ±ΡΠ°Π·ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΡΡ
ΡΠ΅Π»ΡΡ
. ΠΠ²ΡΠΎΡ Π½Π΅ ΠΏΠΎΠ»ΡΡΠ°Π» Π΄ΠΎΡΡΡΠΏΠ° ΠΊ ΠΏΠ΅ΡΡΠΎΠ½Π°Π»ΡΠ½ΡΠΌ Π΄Π°Π½Π½ΡΠΌ ΡΡΠ΅ΡΡΠΈΡ
Π»ΠΈΡ ΠΈ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΉ. ΠΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ Π²Π·ΡΡΠ° Π»ΠΈΠ±ΠΎ ΠΈΠ· ΠΎΡΠΊΡΡΡΡΡ
ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠΎΠ², Π»ΠΈΠ±ΠΎ Π±ΡΠ»Π° ΠΏΡΠ΅Π΄ΠΎΡΡΠ°Π²Π»Π΅Π½Π° Π°Π²ΡΠΎΡΡ Π°Π½ΠΎΠ½ΠΈΠΌΠ½ΡΠΌΠΈ Π΄ΠΎΠ±ΡΠΎΠΆΠ΅Π»Π°ΡΠ΅Π»ΡΠΌΠΈ.
Tranga voalohany. "Radario"
Ny harivan'ny 06.05.2019/XNUMX/XNUMX ny rafitray , an'ny serivisy fivarotana tapakila elektronika Radario.
Araka ny fomban-drazana mampalahelo efa napetraka, ny lohamilina dia nirakitra antsipirihan'ny rafitra fampahalalana momba ny serivisy, izay nahafahana nahazo angon-drakitra manokana, ny fidiran'ny mpampiasa sy ny tenimiafina, ary koa ny tapakila elektronika ho an'ny hetsika isan-karazany manerana ny firenena.
Nihoatra ny 1 TB ny fitambaran'ny rakitra.
Araka ny filazan'ny motera fikarohana Shodan dia efa hita ampahibemaso ny mpizara nanomboka ny 11.03.2019 martsa 06.05.2019. Nampandre ny mpiasan'ny Radario aho tamin'ny 22/50/07.05.2019 tamin'ny 09:30 (MSK) ary tamin'ny XNUMX/XNUMX/XNUMX tokony ho tamin'ny XNUMX:XNUMX dia tsy afaka ny mpizara.
Ny diary dia misy mari-pamantarana fanomezan-dΓ lana manerantany (tokana), manome fidirana amin'ny tapakila novidina rehetra amin'ny alΓ lan'ny rohy manokana, toy ny:
http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk
http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTkNy olana koa dia ny fanisana ny tapakila tsy tapaka ary ny fanisana tsotra ny laharan'ny tapakila (XXXXXXXXX) na baiko (YYYYYYY), azo natao ny naka ny tapakila rehetra tao amin'ny rafitra.
Mba hanamarinana ny maha-zava-dehibe ny angon-drakitra, dia nividy ny tenako mihitsy aza aho ny tapakila mora indrindra:
ary taty aoriana dia hita tao amin'ny mpizara ho an'ny daholobe tao amin'ny logs IS:
http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTkTsindriako manokana fa efa nisy ny tapakila na ho anβireo hetsika efa natao na ho anβireo izay mbola kasaina. Izany hoe, ny mety ho mpanafika dia afaka mampiasa ny tapakilan'ny olon-kafa hidirana amin'ny hetsika nomanina.
Amin'ny salanisa, ny indeksa Elasticsearch tsirairay misy logs mandritra ny andro iray manokana (manomboka ny 24.01.2019/07.05.2019/25 ka hatramin'ny 35/XNUMX/XNUMX) dia misy tapakila XNUMX ka hatramin'ny XNUMX arivo.
Ho fanampin'ny tapakila ihany, ny index dia misy ny fidirana (adiresy mailaka) sy ny tenimiafina an-tsoratra mba hidirana amin'ny kaonty manokana an'ireo mpiara-miombon'antoka amin'ny Radario izay mivarotra tapakila amin'ny hetsika ataon'izy ireo amin'ny alΓ lan'ity serivisy ity:
Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"Amin'ny fitambarany, mihoatra ny 500 ny fidirana / tenimiafina mpivady hita. Ny antontan'isa momba ny varotra tapakila dia hita ao amin'ny kaontin'ny mpiara-miasa:
Hita ampahibemaso ihany koa ny anarana, ny laharan-telefaona ary ny adiresin'ireo mpividy izay nanapa-kevitra ny hamerina tapakila novidina teo aloha:
"Content": "{"name":"***","surname":"*** ","middleName":"ΠΠ²Π³Π΅Π½ΡΠ΅Π²Π½Π° ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"Tao anatin'ny andro iray nofantenana kisendrasendra, mihoatra ny 500 ireo firaketana toy izany hita.
Nahazo valiny avy amin'ny talen'ny teknikan'ny Radario aho tamin'ny fanairana:
Izaho no tale teknikan'ny Radario ary misaotra anao noho ny fahafantarana ny olana. Araka ny fantatrao, nikatona ny fidirana amin'ny elastika izahay ary mamaha ny olan'ny famoahana tapakila ho an'ny mpanjifa.
Fotoana fohy taorian'izay dia nanao fanambarana ofisialy ny orinasa:
Nisy vulnerable hita tao amin'ny rafitra fivarotana tapakila elektronika Radario ary nahitsy haingana, izay mety hitarika amin'ny fivoahana angon-drakitra avy amin'ny mpanjifan'ny serivisy, hoy ny talen'ny varotra ao amin'ny orinasa, Kirill Malyshev, tamin'ny masoivohom-baovao ao an-tanΓ nan'i Moskoa.
"Nahita faharefoana tokoa izahay tamin'ny fiasan'ny rafitra mifandraika amin'ny fanavaozana tsy tapaka, izay raikitra avy hatrany taorian'ny nahitana azy. Vokatry ny vulnerability, ao anatin'ny fepetra sasany, ny hetsika tsy ara-pirahalahiana ataon'ny antoko fahatelo dia mety hitarika amin'ny leakage data, saingy tsy nisy tranga voarakitra. Amin'izao fotoana izao dia efa nesorina avokoa ny lesoka rehetraβ, hoy i K. Malyshev.
Nohamafisinβny solontenanβny orinasa iray fa nanapa-kevitra ny hamoaka ireo tapakila rehetra namidy nandritra ny famahana ny olana mba hanafoanana tanteraka ny mety hisianβny hosoka aminβireo mpanjifanβny tolotra.
Andro vitsy taty aoriana, nanamarina ny fisian'ny angon-drakitra aho tamin'ny fampiasana ireo rohy tafaporitsaka - voarakotra tokoa ny fidirana amin'ireo tapakila βnasehoβ. Raha ny hevitro dia fomba fiasa mahay sy matihanina amin'ny famahana ny olan'ny leakage data.
Raharaha roa. "Fly.ru"
Ny maraina 15.05.2019/XNUMX/XNUMX DeviceLock Data fanitsakitsahana ny Intelligence dia nanondro mpizara Elasticsearch ho an'ny daholobe miaraka amin'ny diarin'ny IS iray.
Taty aoriana dia fantatra fa ny mpizara dia an'ny serivisy fifantenana fitsangatsanganana "Sletat.ru".
Avy amin'ny index cbto__0 azo natao ny nahazo adiresy mailaka an'arivony (11,7 arivo ao anatin'izany ny dika mitovy), ary koa ny fampahalalana momba ny fandoavam-bola (vidin'ny fizahantany) sy ny angon-drakitra momba ny fizahantany (oviana, aiza, antsipirian'ny tapakila fiaramanidina. Π²ΡΠ΅Ρ mpandeha tafiditra ao amin'ny fitetezam-paritra, sns) amin'ny fitambaran'ny 1,8 arivo firaketana:
"full_message": "ΠΠΎΠ»ΡΡΠ΅Π½ Π·Π°ΠΏΡΠΎΡ Π·Π° ΡΠΎΠ·Π΄Π°Π½ΠΈΠ΅ ΠΏΠ»Π°ΡΠ΅ΠΆΠ½ΠΎΠ³ΠΎ ΡΡΠ΅Π΄ΡΡΠ²Π°: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"Raha ny marina, ny rohy mankany amin'ny fitsangatsanganana karama dia miasa tsara:
Ao amin'ny indexes misy anarana graylog_ ao anaty lahatsoratra mazava ny fidirana sy tenimiafina an'ireo masoivoho fitsangatsanganana mifandray amin'ny rafitra Sletat.ru ary mivarotra fitsangatsanganana amin'ny mpanjifany:
"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1¤cyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."Araka ny tombantombanako, an-jatony maromaro ny fidirana/password mpivady naseho.
Avy amin'ny kaonty manokan'ny masoivoho fitsangatsanganana eo amin'ny vavahadin-tserasera agent.sletat.ru azo natao ny nahazo ny angon-drakitra mpanjifa, anisan'izany ny laharan'ny pasipaoro, ny pasipaoro iraisam-pirenena, ny daty nahaterahana, ny anarana feno, ny nomeraon-telefaona ary ny adiresy mailaka.
Nampandrenesiko ny serivisy Sletat.ru tamin'ny 15.05.2019/10/46 tamin'ny 16:00 (MSK) ary ora vitsivitsy taty aoriana (hatramin'ny XNUMX:XNUMX) dia nanjavona tamin'ny fidirana malalaka izy ireo. Taty aoriana, ho setrin'ny famoahana tao amin'ny Kommersant, nanao fanambarana hafahafa tamin'ny alalan'ny haino aman-jery ny mpitantana ny serivisy:
Ny lehiben'ny orinasa, Andrei Vershinin, dia nanazava fa ny Sletat.ru dia manome mpiara-miombon'antoka lehibe amin'ny fitsangatsanganana amin'ny fidirana amin'ny tantaran'ny fanontaniana ao amin'ny milina fikarohana. Ary nihevitra izy fa nahazo izany ny DeviceLock: "Na izany aza, ny angon-drakitra voatondro dia tsy misy angon-drakitra momba ny pasipaoron'ny mpizahatany, ny fidirana amin'ny masoivoho fitsangatsanganana sy ny tenimiafina, ny fampahalalana momba ny fandoavam-bola, sns." Andrei Vershinin dia nanamarika fa ny Sletat.ru dia tsy mbola nahazo porofo momba ny fiampangana matotra toy izany. βMiezaka mifandray amin'ny DeviceLock izahay izao. Mino izahay fa baiko izany. Ny olona sasany dia tsy tia ny fitomboantsika haingana, βhoy izy. "
Araka ny aseho etsy ambony, ny fidirana, ny tenimiafina, ary ny angon-drakitra momba ny pasipaoron'ny mpizaha tany dia tao amin'ny sehatra ho an'ny daholobe nandritra ny fotoana ela (farafaharatsiny nanomboka ny 29.03.2019 martsa XNUMX, rehefa voarakitra voalohany tao amin'ny sehatra ho an'ny daholobe ny mpizara Shodan). Mazava ho azy fa tsy nisy nifandray taminay. Manantena aho fa farafaharatsiny nampandrenesina ireo masoivoho mpitety faritany momba ny fivoahana ary nanery azy ireo hanova ny tenimiafina.
Ny vaovao momba ny fiparitahan'ny vaovao sy ny anatiny dia azo jerena ao amin'ny fantsona Telegram-ko "".
Source: www.habr.com