Хэдхэн хоногийн өмнө би Оросын онлайн эмнэлгийн DOC+ үйлчилгээ нь өвчтөн болон үйлчилгээний ажилтнуудын мэдээллийг авах боломжтой нарийвчилсан хандалтын бүртгэл бүхий мэдээллийн санг олон нийтэд хэрхэн үлдээж чадсан талаар Habré дээр. "Ойр орчмын эмч" (www.drclinics.ru) өвчтөнүүдэд эмч нартай онлайн зөвлөгөө өгдөг Оросын өөр нэг үйлчилгээтэй холбоотой шинэ үйл явдал боллоо.
Эмч нарын ойрын ажилтнуудын хангалттай байдлын ачаар эмзэг байдлыг хурдан (шөнийн цагаар мэдэгдэл ирснээс хойш 2 цагийн дараа) арилгаж, хувийн болон эмнэлгийн мэдээлэл алдагдаагүй байх магадлалтай гэж би тэр даруй бичих болно. Доод тал нь 3.5 ГБ хэмжээтэй өгөгдөл бүхий json файл "нээлттэй ертөнцөд" дууссан гэдгийг би сайн мэдэж байгаа DOC+ үйл явдлаас ялгаатай нь албан ёсны байр суурь нь дараах байдалтай байна: "Бага хэмжээний мэдээлэл түр хугацаанд олон нийтэд нээлттэй болсон бөгөөд энэ нь DOC+ үйлчилгээний ажилчид болон хэрэглэгчдэд сөрөг үр дагаварт хүргэж чадахгүй.".
Telegram сувгийн эзэмшигчийн хувьд надтай хамт "", нэр нь үл мэдэгдэгч захиалагч холбогдож, www.drclinics.ru вэб сайтад болзошгүй эмзэг байдлын талаар мэдээлэв.
Эмзэг байдлын мөн чанар нь URL хаягийг мэдэж, өөрийн акаунтын системд байгаа тул бусад өвчтөнүүдийн мэдээллийг харах боломжтой байв.
Doctor Nearby системд шинэ данс бүртгүүлэхийн тулд танд зөвхөн баталгаажуулах SMS илгээсэн гар утасны дугаар хэрэгтэй бөгөөд ингэснээр хэн ч хувийн данс руугаа нэвтрэхэд ямар ч асуудал гарахгүй.
Хэрэглэгч өөрийн хувийн дансанд нэвтэрсний дараа тэр даруй хөтчийнхөө хаягийн мөрөнд URL-г өөрчилснөөр өвчтөний хувийн мэдээлэл, тэр байтугай эмнэлгийн оношийг агуулсан тайланг үзэх боломжтой.
Үйлчилгээ нь тайлангуудыг тасралтгүй дугаарлаж, эдгээр тоонуудаас аль хэдийн URL үүсгэсэн нь чухал асуудал байв.
https://[адрес сайта]/…/…/40261/…
Тиймээс, систем дэх нийт тайлангийн тоог (7911) тооцоолох, тэр ч байтугай (хорлонтой санаатай байсан бол) татаж авахын тулд зөвшөөрөгдсөн хамгийн бага тоо (42926) ба хамгийн их (35015 - эмзэг байдлын үед) тохируулахад хангалттай байсан. бүгдийг нь энгийн скриптээр.
Үзэх боломжтой өгөгдлүүдийн дунд: эмч, өвчтөний овог нэр, эмч, өвчтөний төрсөн он, сар, өдөр, эмч, өвчтөний утасны дугаар, эмч, өвчтөний хүйс, эмч, өвчтөний цахим шуудангийн хаяг, эмчийн мэргэшил зэрэг болно. , зөвлөлдөх огноо, зөвлөгөө өгөх зардал, зарим тохиолдолд оношийг ч (тайлангийн тайлбар болгон).
Энэ эмзэг байдал нь үндсэндээ өмнөхтэй маш төстэй юм "Займоград" бичил санхүүгийн байгууллагын сервер дээр. Дараа нь хайлт хийснээр байгууллагын үйлчлүүлэгчдийн паспортын бүрэн мэдээллийг агуулсан 36763 гэрээг олж авах боломжтой байв.
Би анхнаасаа хэлсэнчлэн "Doctor Nearby"-ийн ажилтнууд жинхэнэ мэргэжлийн ур чадвараа харуулсан бөгөөд би тэдэнд эмзэг байдлын талаар 23:00 цагт (Москвагийн цагаар) мэдэгдсэн ч миний хувийн данс руу нэвтрэх эрхийг хүн бүр шууд хааж, 1: 00 (Москвагийн цагаар) энэ эмзэг байдлыг зассан.
ДОК+ (New Medicine LLC) компанийн PR-ийн албыг дахин нэг өшиглөхгүй байж чадахгүй нь. тунхаглаж байна"Бага хэмжээний өгөгдлийг түр хугацаанд олон нийтэд нээлттэй болгосон", тэд бидэнд "объектив хяналтын" өгөгдөл, тухайлбал Шодан хайлтын системтэй байгааг мартдаг. Тэр нийтлэлийн тайлбарт зөв тэмдэглэснээр - Шоданы хэлснээр DOC+ IP хаяг дээр нээлттэй ClickHouse серверийг анх удаа зассан огноо: 15.02.2019-03-08 00:17.03.2019:09, сүүлийн засвар хийсэн огноо: 52/ 00:40:XNUMX. Өгөгдлийн сангийн хэмжээ XNUMX ГБ орчим байна.
Нийтдээ 15 засвар хийсэн:
15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00Мэдэгдэлээс харахад ийм байна түр зуур сар гаруйхан байна, гэхдээ бага хэмжээний өгөгдөл Энэ нь ойролцоогоор 40 гигабайт юм. За мэдэхгүй ээ...
Гэхдээ "Эмч ойрхон байна" руу буцаж орцгооё.
Одоогийн байдлаар миний мэргэжлийн гаж донтон ганц л үлдэгдэл асуудалтай тулгараад байна - серверийн хариултаас та систем дэх тайлангийн тоог олж мэдэх боломжтой. Та хандалт хийх боломжгүй URL-аас тайлан авахыг оролдох үед (гэхдээ тайлан өөрөө боломжтой) сервер буцаж ирдэг НЭВТРЭЛТ ЦУЦЛАГДЛАА, мөн та байхгүй тайланг авахыг оролдох үед энэ нь буцаж ирдэг ОЛДСОНГҮЙ. Систем дэх тайлангийн тоог цаг хугацааны явцад (долоо хоногт нэг удаа, сар гэх мэт) ажигласнаар та үйлчилгээний ачаалал, үзүүлж буй үйлчилгээний хэмжээг үнэлэх боломжтой. Энэ нь мэдээжийн хэрэг өвчтөн, эмч нарын хувийн мэдээллийг зөрчөөгүй ч компанийн худалдааны нууцыг зөрчсөн байж магадгүй юм.
Эх сурвалж: www.habr.com