ਓਪਨ ਕਲਿਕਹਾਊਸ ਡੇਟਾਬੇਸ ਕਾਰਨ ਮਰੀਜ਼ਾਂ ਅਤੇ ਡਾਕਟਰਾਂ ਦਾ ਨਿੱਜੀ ਡੇਟਾ ਕਿਵੇਂ ਖਰਾਬ ਹੋ ਸਕਦਾ ਸੀ

ਮੈਂ ਦੁਨੀਆ ਦੇ ਲਗਭਗ ਸਾਰੇ ਦੇਸ਼ਾਂ ਵਿੱਚ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਡੇਟਾਬੇਸ ਦੀ ਖੋਜ ਬਾਰੇ ਬਹੁਤ ਕੁਝ ਲਿਖਦਾ ਹਾਂ, ਪਰ ਜਨਤਕ ਡੋਮੇਨ ਵਿੱਚ ਛੱਡੇ ਗਏ ਰੂਸੀ ਡੇਟਾਬੇਸ ਬਾਰੇ ਲਗਭਗ ਕੋਈ ਖ਼ਬਰ ਨਹੀਂ ਹੈ. ਹਾਲਾਂਕਿ ਹਾਲ ਹੀ ਵਿੱਚ ਲਿਖੀ "ਕ੍ਰੇਮਲਿਨ ਦੇ ਹੱਥ" ਬਾਰੇ, ਜਿਸ ਨੂੰ ਇੱਕ ਡੱਚ ਖੋਜਕਰਤਾ 2000 ਤੋਂ ਵੱਧ ਖੁੱਲੇ ਡੇਟਾਬੇਸ ਵਿੱਚ ਖੋਜਣ ਤੋਂ ਡਰਿਆ ਹੋਇਆ ਸੀ।

ਇੱਕ ਗਲਤ ਧਾਰਨਾ ਹੋ ਸਕਦੀ ਹੈ ਕਿ ਰੂਸ ਵਿੱਚ ਸਭ ਕੁਝ ਬਹੁਤ ਵਧੀਆ ਹੈ ਅਤੇ ਵੱਡੇ ਰੂਸੀ ਔਨਲਾਈਨ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਮਾਲਕ ਉਪਭੋਗਤਾ ਡੇਟਾ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਇੱਕ ਜ਼ਿੰਮੇਵਾਰ ਪਹੁੰਚ ਅਪਣਾਉਂਦੇ ਹਨ. ਮੈਂ ਇਸ ਉਦਾਹਰਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸ ਮਿੱਥ ਨੂੰ ਖਤਮ ਕਰਨ ਲਈ ਕਾਹਲੀ ਕਰਦਾ ਹਾਂ।

ਰੂਸੀ ਔਨਲਾਈਨ ਮੈਡੀਕਲ ਸੇਵਾ DOC+ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਐਕਸੈਸ ਲੌਗਾਂ ਦੇ ਨਾਲ ਕਲਿਕਹਾਊਸ ਡੇਟਾਬੇਸ ਨੂੰ ਛੱਡਣ ਵਿੱਚ ਕਾਮਯਾਬ ਰਹੀ। ਬਦਕਿਸਮਤੀ ਨਾਲ, ਲੌਗ ਇੰਨੇ ਵਿਸਤ੍ਰਿਤ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ ਕਿ ਸੇਵਾ ਦੇ ਕਰਮਚਾਰੀਆਂ, ਸਹਿਭਾਗੀਆਂ ਅਤੇ ਗਾਹਕਾਂ ਦਾ ਨਿੱਜੀ ਡੇਟਾ ਲੀਕ ਹੋ ਸਕਦਾ ਹੈ।

ਪਹਿਲੀਆਂ ਗੱਲਾਂ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

ਮੇਰੇ ਨਾਲ, ਟੈਲੀਗ੍ਰਾਮ ਚੈਨਲ ਦੇ ਮਾਲਕ ਵਜੋਂ "ਜਾਣਕਾਰੀ ਲੀਕ", ਇੱਕ ਚੈਨਲ ਰੀਡਰ ਜੋ ਅਗਿਆਤ ਰਹਿਣਾ ਚਾਹੁੰਦਾ ਸੀ, ਸੰਪਰਕ ਵਿੱਚ ਆਇਆ ਅਤੇ ਸ਼ਾਬਦਿਕ ਤੌਰ 'ਤੇ ਹੇਠਾਂ ਦਿੱਤੀ ਰਿਪੋਰਟ ਕੀਤੀ:

ਇੰਟਰਨੈੱਟ 'ਤੇ ਇੱਕ ਖੁੱਲ੍ਹਾ ਕਲਿਕਹਾਊਸ ਸਰਵਰ ਲੱਭਿਆ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਕੰਪਨੀ ਡੌਕ+ ਨਾਲ ਸਬੰਧਤ ਹੈ। ਸਰਵਰ ਦਾ IP ਪਤਾ ਉਸ IP ਪਤੇ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਜਿਸ ਨਾਲ docplus.ru ਡੋਮੇਨ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ।

ਵਿਕੀਪੀਡੀਆ ਤੋਂ: DOC+ (ਨਿਊ ਮੈਡੀਸਨ ਐਲਐਲਸੀ) ਇੱਕ ਰੂਸੀ ਮੈਡੀਕਲ ਕੰਪਨੀ ਹੈ ਜੋ ਟੈਲੀਮੇਡੀਸਨ ਦੇ ਖੇਤਰ ਵਿੱਚ ਸੇਵਾਵਾਂ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ, ਇੱਕ ਡਾਕਟਰ ਨੂੰ ਘਰ, ਸਟੋਰੇਜ ਅਤੇ ਪ੍ਰੋਸੈਸਿੰਗ ਵਿੱਚ ਬੁਲਾਉਂਦੀ ਹੈ। ਨਿੱਜੀ ਮੈਡੀਕਲ ਡਾਟਾ. ਕੰਪਨੀ ਨੇ Yandex ਤੋਂ ਨਿਵੇਸ਼ ਪ੍ਰਾਪਤ ਕੀਤਾ.

ਇਕੱਤਰ ਕੀਤੀ ਜਾਣਕਾਰੀ ਦੇ ਆਧਾਰ 'ਤੇ, ਕਲਿਕਹਾਊਸ ਡੇਟਾਬੇਸ ਸੱਚਮੁੱਚ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਸੀ, ਅਤੇ ਕੋਈ ਵੀ, IP ਪਤਾ ਜਾਣਦਾ ਹੋਇਆ, ਇਸ ਤੋਂ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਸੀ। ਇਹ ਡੇਟਾ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਸੇਵਾ ਪਹੁੰਚ ਲੌਗਸ ਵਜੋਂ ਨਿਕਲਿਆ।

ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਉਪਰੋਕਤ ਤਸਵੀਰ ਤੋਂ ਦੇਖ ਸਕਦੇ ਹੋ, www.docplus.ru ਵੈੱਬ ਸਰਵਰ ਅਤੇ ਕਲਿਕਹਾਊਸ ਸਰਵਰ (ਪੋਰਟ 9000) ਤੋਂ ਇਲਾਵਾ, ਮੋਂਗੋਡੀਬੀ ਡੇਟਾਬੇਸ ਉਸੇ IP ਪਤੇ 'ਤੇ ਖੁੱਲ੍ਹਾ ਲਟਕ ਰਿਹਾ ਹੈ (ਜਿਸ ਵਿੱਚ, ਜ਼ਾਹਰ ਤੌਰ 'ਤੇ, ਕੁਝ ਵੀ ਨਹੀਂ ਹੈ। ਦਿਲਚਸਪ).

ਜਿੱਥੋਂ ਤੱਕ ਮੈਨੂੰ ਪਤਾ ਹੈ, Shodan.io ਖੋਜ ਇੰਜਣ ਦੀ ਵਰਤੋਂ ਕਲਿਕਹਾਊਸ ਸਰਵਰ (ਲਗਭਗ ਖੋਜਕਰਤਾ ਖੁੱਲ੍ਹੇ ਡੇਟਾਬੇਸ ਦੀ ਖੋਜ ਕਿਵੇਂ ਕਰਦੇ ਹਨ ਮੈਂ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਸਕ੍ਰਿਪਟ ਦੇ ਨਾਲ ਜੋੜ ਕੇ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਲਿਖਿਆ ਸੀ ਕਲਿਕ ਡਾਉਨ, ਜਿਸ ਨੇ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਘਾਟ ਲਈ ਮਿਲੇ ਡੇਟਾਬੇਸ ਦੀ ਜਾਂਚ ਕੀਤੀ ਅਤੇ ਇਸ ਦੀਆਂ ਸਾਰੀਆਂ ਟੇਬਲਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕੀਤਾ। ਉਸ ਸਮੇਂ ਉਨ੍ਹਾਂ ਦੀ ਗਿਣਤੀ 474 ਜਾਪਦੀ ਸੀ।

ਦਸਤਾਵੇਜ਼ਾਂ ਤੋਂ ਅਸੀਂ ਜਾਣਦੇ ਹਾਂ ਕਿ ਮੂਲ ਰੂਪ ਵਿੱਚ, ਕਲਿਕਹਾਊਸ ਸਰਵਰ ਪੋਰਟ 8123 'ਤੇ HTTP ਨੂੰ ਸੁਣਦਾ ਹੈ। ਇਸ ਲਈ, ਇਹ ਵੇਖਣ ਲਈ ਕਿ ਟੇਬਲਾਂ ਵਿੱਚ ਕੀ ਸ਼ਾਮਲ ਹੈ, ਇਸ SQL ਪੁੱਛਗਿੱਛ ਵਰਗਾ ਕੁਝ ਚਲਾਉਣਾ ਕਾਫ਼ੀ ਹੈ:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

ਬੇਨਤੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ, ਜੋ ਸ਼ਾਇਦ ਵਾਪਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਉਹ ਹੈ ਜੋ ਹੇਠਾਂ ਦਿੱਤੇ ਸਕ੍ਰੀਨਸ਼ਾਟ ਵਿੱਚ ਦਰਸਾਇਆ ਗਿਆ ਹੈ:

ਸਕਰੀਨਸ਼ਾਟ ਤੋਂ ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਖੇਤਰ ਵਿੱਚ ਜਾਣਕਾਰੀ ਸਿਰਲੇਖ ਇਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਦੇ ਸਥਾਨ (ਅਕਸ਼ਾਂਸ਼ ਅਤੇ ਲੰਬਕਾਰ) ਬਾਰੇ ਡੇਟਾ, ਉਸਦਾ IP ਪਤਾ, ਉਸ ਡਿਵਾਈਸ ਬਾਰੇ ਜਾਣਕਾਰੀ ਹੈ ਜਿਸ ਤੋਂ ਉਹ ਸੇਵਾ ਨਾਲ ਜੁੜਿਆ ਹੈ, OS ਸੰਸਕਰਣ, ਆਦਿ।

ਜੇ ਇਹ ਕਿਸੇ ਨੂੰ SQL ਪੁੱਛਗਿੱਛ ਨੂੰ ਥੋੜ੍ਹਾ ਸੋਧਣ ਲਈ ਹੋਇਆ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਇਸ ਤਰ੍ਹਾਂ:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

ਫਿਰ ਕਰਮਚਾਰੀਆਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਦੇ ਸਮਾਨ ਕੁਝ ਵਾਪਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਅਰਥਾਤ: ਪੂਰਾ ਨਾਮ, ਜਨਮ ਮਿਤੀ, ਲਿੰਗ, ਟੈਕਸ ਪਛਾਣ ਨੰਬਰ, ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਅਤੇ ਰਿਹਾਇਸ਼ ਦਾ ਅਸਲ ਸਥਾਨ, ਟੈਲੀਫੋਨ ਨੰਬਰ, ਅਹੁਦੇ, ਈਮੇਲ ਪਤੇ ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ:

ਉਪਰੋਕਤ ਸਕ੍ਰੀਨਸ਼ੌਟ ਤੋਂ ਇਹ ਸਾਰੀ ਜਾਣਕਾਰੀ 1C: ਐਂਟਰਪ੍ਰਾਈਜ਼ 8.3 ਦੇ HR ਡੇਟਾ ਨਾਲ ਬਹੁਤ ਮਿਲਦੀ ਜੁਲਦੀ ਹੈ।

ਪੈਰਾਮੀਟਰ 'ਤੇ ਇੱਕ ਡੂੰਘੀ ਨਜ਼ਰ ਲੈ ਕੇ API_USER_TOKEN ਤੁਸੀਂ ਸੋਚ ਸਕਦੇ ਹੋ ਕਿ ਇਹ ਇੱਕ "ਵਰਕਿੰਗ" ਟੋਕਨ ਹੈ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਉਪਭੋਗਤਾ ਦੀ ਤਰਫੋਂ ਕਈ ਕਾਰਵਾਈਆਂ ਕਰ ਸਕਦੇ ਹੋ, ਜਿਸ ਵਿੱਚ ਉਸਦਾ ਨਿੱਜੀ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨਾ ਵੀ ਸ਼ਾਮਲ ਹੈ। ਪਰ ਬੇਸ਼ੱਕ ਮੈਂ ਇਹ ਨਹੀਂ ਕਹਿ ਸਕਦਾ.

ਇਸ ਸਮੇਂ ਕੋਈ ਜਾਣਕਾਰੀ ਨਹੀਂ ਹੈ ਕਿ ਕਲਿਕਹਾਊਸ ਸਰਵਰ ਅਜੇ ਵੀ ਉਸੇ IP ਪਤੇ 'ਤੇ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਹੈ।

ਸਰੋਤ: www.habr.com