زه د نړۍ په نږدې ټولو هیوادونو کې د وړیا لاسرسي وړ ډیټابیسونو موندلو په اړه ډیر څه لیکم ، مګر په عامه ډومین کې د روسی ډیټابیسونو په اړه نږدې هیڅ خبر نشته. که څه هم په دې وروستیو کې د "کرملین د لاس" په اړه، کوم چې یو هالنډي څیړونکی د 2000 څخه ډیرو خلاص ډیټابیسونو کې موندلو ویره درلوده.
شاید یو غلط فهم وي چې هرڅه په روسیه کې عالي دي او د لوی روسی آنلاین پروژو مالکین د کارونکي ډیټا ذخیره کولو لپاره مسؤل چلند غوره کوي. زه د دې مثال په کارولو سره د دې افسانې له مینځه وړلو لپاره ګړندۍ یم.
د روسیې آنلاین طبي خدمت DOC+ ظاهرا په عامه توګه د لاسرسي لاګونو سره د ClickHouse ډیټابیس پریښودو توانیدلی. له بده مرغه، لاګونه دومره مفصل ښکاري چې د کارمندانو، شریکانو او د خدماتو پیرودونکو شخصي معلومات لیک شوي وي.
لومړی شیان لومړی ...
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.
زما سره، د ټیلیګرام چینل د مالک په توګه ""، د چینل یو لوستونکی چې غوښتل یې نوم پټ وساتي په اړیکه کې شو او په لفظي ډول یې لاندې راپور ورکړ:
په انټرنیټ کې د کلک هاوس خلاص سرور کشف شو، کوم چې د شرکت doc+ پورې اړه لري. د سرور IP پته د هغه IP پتې سره سمون لري چې د docplus.ru ډومین ترتیب شوی.
د ويکيپېډيا څخه: DOC+ (New Medicine LLC) یو روسی طبي شرکت دی چې د ټیل میډیسن په برخه کې خدمات وړاندې کوي، په کور کې ډاکټر ته بلنه ورکوي، ذخیره کول او پروسس کوي. شخصي طبي معلومات. شرکت د Yandex څخه پانګونه ترلاسه کړه.
د راټولو شویو معلوماتو په اړه قضاوت کول، د ClickHouse ډیټابیس په حقیقت کې په وړیا توګه د لاسرسي وړ و، او هرڅوک، چې د IP پته پیژني، کولی شي له هغې څخه ډاټا ترلاسه کړي. دا ډاټا احتمالا د خدماتو لاسرسي لاګونو ته وګرځیدل.
لکه څنګه چې تاسو د پورتني عکس څخه لیدلی شئ ، د www.docplus.ru ویب سرور او د کلیک هاوس سرور (پورټ 9000) سربیره ، د MongoDB ډیټابیس په ورته IP پته کې پراخه خلاص ځړول کیږي (په کوم کې چې ظاهرا هیڅ شتون نلري. په زړه پورې).
تر هغه ځایه چې زه پوهیږم، د Shodan.io لټون انجن د ClickHouse سرور موندلو لپاره کارول شوی و (په اړه ما په جلا توګه لیکلي) د ځانګړي سکریپټ سره په ګډه ، کوم چې د تصدیق نشتوالي لپاره موندل شوي ډیټابیس چیک کړی او د هغې ټول میزونه یې لیست کړي. په هغه وخت کې داسې بریښي چې د دوی 474 وي.
د اسنادو څخه موږ پوهیږو چې په ډیفالټ ډول ، د کلیک هاوس سرور په پورټ 8123 کې HTTP ته غوږ نیسي. له همدې امله ، د دې لپاره چې وګورئ په جدولونو کې څه شتون لري ، دا د دې SQL پوښتنې په څیر یو څه چلولو لپاره کافي دي:
http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]د غوښتنې اجرا کولو په پایله کې، هغه څه چې شاید بیرته راستانه شي هغه څه دي چې لاندې په سکرین شاټ کې ښودل شوي:
د سکرین شاټ څخه دا روښانه ده چې په ساحه کې معلومات سرلیکونه د کارونکي د موقعیت (طول البلد او عرض البلد) په اړه معلومات لري، د هغه IP پته، د هغه وسیلې په اړه معلومات چې له هغه څخه یې خدمت سره وصل کړی، د OS نسخه، او داسې نور.
که دا یو چا ته پیښ شي چې د SQL پوښتنې یو څه ترمیم کړي، د بیلګې په توګه، دا:
http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’
بیا د کارمندانو شخصي معلوماتو ته ورته یو څه بیرته راستنیدل کیدی شي، د بیلګې په توګه: بشپړ نوم، د زیږون نیټه، جندر، د مالیې د پیژندنې شمیره، ثبت او د استوګنې اصلي ځای، د تلیفون شمیرې، موقعیتونه، بریښنالیک پتې او نور ډیر څه:
د پورته سکرین شاټ څخه دا ټول معلومات د 1C: Enterprise 8.3 څخه د HR ډیټا سره خورا ورته دي.
پیرامیټر ته نږدې کتنه API_USER_TOKEN تاسو شاید فکر وکړئ چې دا یو "کاري" نښه ده چې ورسره تاسو کولی شئ د کارونکي په استازیتوب مختلف عملونه ترسره کړئ ، پشمول د هغه د شخصي معلوماتو ترلاسه کول. مګر البته زه نشم کولی دا ووایم.
په اوس وخت کې هیڅ معلومات شتون نلري چې د ClickHouse سرور لاهم په ورته IP پته کې په وړیا توګه د لاسرسي وړ دی.
سرچینه: www.habr.com