问诊12306之三:漏洞大,数亿用户信息可能外泄

jopen 11年前

        【搜狐 IT 消息】(文/毛启盈)9月 28 日消息,昨晚网络曝出 12306 又一更严重问题被发现,其存在严重安全漏洞,有可能泄露用户信息,并且其他人可以通过该漏洞任意修改用户名和密码,进行订票、退票等操作。对此,搜狐 IT 走访行业安全方面的专家。通过对 12306 暴露出问题进行分析,专家称 12306 网站安全隐患已经达到非常严重的级别,如果不及时升级封堵,上亿用户信息可能外泄。

问诊12306之三:漏洞大,数亿用户信息可能外泄

搜狐 IT 独家解剖 12306 网站结构图

        曝出来的漏洞仅是冰山一角

        针对网络曝出 12306 曝出安全漏洞,搜狐 IT 走访了网络安全专家、安全宝 CEO 马杰。马杰曾经是瑞星公司技术工程师,拥有 10 余年的安全方面经验。

问诊12306之三:漏洞大,数亿用户信息可能外泄

网络安全专家、安全宝 CEO 马杰

        马杰告诉搜狐 IT 说,“网络已曝出来的漏洞,还是比较一般的漏洞,还有最严重的漏洞,可以影响到它们整个数据库的安全,对已购买过票的用户,信息有一定的外泄风险。”

        网民还是比较负责的态度,仅公开了其中一部分漏洞,白墨黑字和截图,却没有泄露更多的用户信息。马杰分析称,相比工商、税务、公安等信息系统来 说,12306也是一个非常重要的网站,关系到数以万计的民众,但是,其安全性还是比较差。比较资深的安全专家和比较厉害的黑客,可以进入数据库。“没有 授权,不方便进入,可能牵涉到大量的用户信息”。

        “我们做过网站安全测试,90% 网站存在安全漏洞,其中 20-30% 存在严重安全漏洞。12306已达到最严重级别!”马杰说,作为一名技术人员,他从外围已经看到诸多漏洞。如果拥有相关机构授权,或者他可以当场给媒体演示其存在的问题。

        此前,微博截图 12306 网站内部代码(如图),遭到大量网民的吐槽。马杰分析说,这些代码,比较初级,是造成网站慢原因的之一。因为类似“like、%”等的技术语言,是一种模 糊匹配,效率极其低下,一般的网站尽量少用这种匹配。“而网民能够轻而易举进去,从容截图,从侧面说明了其安全性不够。”        

问诊12306之三:漏洞大,数亿用户信息可能外泄

微博曝光 12306 网站内部代码截图

        12306可能是一个“草台班子”

        一位不愿透露姓名团购网站副总裁分析称,从这个网站的架构看,完全是一个不成熟的网站,最初设想也可能是“内部使用”,难以支撑上亿级别的访问量。

        从外泄的代码看,“like、%”等的技术语言,这是以前将就访问量低于百万级别网站使用,稍微有技术常识的技术人员,不会使用这样的低级语言。

        对此,马杰表示了同样的看法。他认为,类似 12306 这样的网站,应该有一个 30-40人的技术团队,而且,还要来自不同的层面研发。从目前其网站安全角度看,它猜测应该没有这么多不同层次水平的技术人员。

        “标书”不应忽视信息安全

        2011年底发生的 CSDN、天涯、人人网等用户信息泄密事件,2012年3.15晚会中披露的浦发银行、光大银行、工商银行、淘宝、京东商城等信息泄密,警钟长鸣!信息安 全触及着每一个人的神经。然而,涉及到上亿用户信息的 12306 却如此不堪一击,让专家们为之担忧。

        但是,这次 12306 网的漏洞又让人们捏一把汗。 “双节”过后,会不会出现乘坐火车的个人信息外泄?如果 12306 不立即亡羊补牢,可能会后患无穷。一位安全领域专家对搜狐 IT 表示。

        其实,此前铁道部 3 亿的招标升级系统引发了较大质疑。马杰对搜狐 IT 表示,尚不清楚招标项目中有没有包括安全厂商。“太极是一家优秀的软件集成商,应聚集这方面的人才,进行应对。”马杰说,如果通过一个防火墙的,恐怕能力 有限,因为涉及数据量非常大,恐怕承受不了。如果铁道部愿意系统开放,“安全宝公司可免费为其做‘黑盒’(外围)安全保障。”

        对于 3 亿巨额招标之后,铁道部到底该如何运作 12306 系统?马杰认为,大家不应该将矛头对准铁道部,因为每个行业面临的现状都差不多。“不过,应该让负责网站运维的人,去做运维的事情,让负责安全的人去做安全的事情。 ”马杰说。

来自: 搜狐IT