-
廣東出入境政務(wù)網(wǎng)存漏洞 444萬(wàn)條信息“裸奔”
發(fā)布時(shí)間 : 2011-12-30 08:35:49 來(lái)源 : 金站網(wǎng) 瀏覽次數(shù) :
屏幕畫(huà)面為廣東省公安廳出入境政務(wù)網(wǎng)“泄露”出的用戶信息數(shù)據(jù)后臺(tái)網(wǎng)頁(yè)截圖。
南都訊 記者陳萬(wàn)如 近日國(guó)內(nèi)多個(gè)商業(yè)網(wǎng)站的用戶信息被泄露，愈演愈烈的“泄密門(mén)”中，政務(wù)網(wǎng)站也未能幸免于“數(shù)據(jù)裸奔”。昨天上午，網(wǎng)友在新浪微博揭露了廣東省公安廳出入境政務(wù)服務(wù)網(wǎng)網(wǎng)站后臺(tái)存在漏洞。獲得漏洞地址的人士可以訪問(wèn)2011年6月24日至昨日所有網(wǎng)上申請(qǐng)者提交的信息，共計(jì)444萬(wàn)余條。
問(wèn)題一個(gè)月前就暴露
昨日早上，知名IT人士@月光博客發(fā)布微博：“廣東省公安廳出入境政務(wù)服務(wù)網(wǎng)網(wǎng)上申請(qǐng)數(shù)據(jù)泄露，幾乎全部提交網(wǎng)上申請(qǐng)用戶的真實(shí)姓名、護(hù)照號(hào)碼、港澳通行證號(hào)碼遭到泄密，目前該漏洞還沒(méi)有修復(fù)。”并提供了相關(guān)信息的模糊截圖。
記者從相關(guān)人士處獲得漏洞地址*******.網(wǎng)頁(yè)顯示是網(wǎng)上申請(qǐng)數(shù)據(jù)的列表。根據(jù)泄露網(wǎng)頁(yè)首頁(yè)和末頁(yè)的數(shù)據(jù)，此次泄露的信息范圍是2011年6月24日至昨日中午12：30前所有通過(guò)網(wǎng)站申請(qǐng)簽注的用戶資料，總數(shù)高達(dá)4441387條。
最新信息為昨日中午12時(shí)30分李*的申請(qǐng)記錄。點(diǎn)擊每條記錄，可看到用戶的出生年月、郵寄地址、郵編、電話、證件有效期、出境事由等信息。記者在該網(wǎng)頁(yè)搜索欄內(nèi)輸入自己的通行證號(hào)碼，赫然發(fā)現(xiàn)自己下半年三次申請(qǐng)港澳簽注的記錄和相關(guān)的個(gè)人信息。
據(jù)記者調(diào)查，相關(guān)漏洞由一名網(wǎng)名為“刺刺”的程序員發(fā)現(xiàn)，11月29日“刺刺”將漏洞信息提供給“烏云（WooY un）”平臺(tái)，昨日早上“烏云”將漏洞信息交由著名IT人士“@月光博客”發(fā)布。“烏云”平臺(tái)的負(fù)責(zé)人表示，11月29日收到漏洞信息后他們已交給相關(guān)部門(mén)處理，因?yàn)樘幚砺┒葱枰獣r(shí)間，所以他們?cè)谝粋€(gè)月后才公布漏洞。
程序員稱是“低級(jí)錯(cuò)誤”
“@月光博客”分析，此次漏洞估計(jì)為程序設(shè)置問(wèn)題，查看后臺(tái)信息功能的權(quán)限控制錯(cuò)誤，導(dǎo)致普通用戶可以繞過(guò)登錄環(huán)節(jié)，直接訪問(wèn)后臺(tái)頁(yè)面查看數(shù)據(jù)。
資深程序員、某電子商務(wù)網(wǎng)站創(chuàng)始人徐湘濤表示，一般來(lái)說(shuō)，涉及后臺(tái)數(shù)據(jù)時(shí)，每個(gè)網(wǎng)站的管理人員會(huì)根據(jù)職責(zé)得到不同的信息權(quán)限。在用戶數(shù)據(jù)頁(yè)面展現(xiàn)之前，應(yīng)該有“校驗(yàn)身份”的過(guò)程，相關(guān)人員登錄、通過(guò)校驗(yàn)后，才能訪問(wèn)后臺(tái)信息。“在外網(wǎng)輸入網(wǎng)址就能查看后臺(tái)數(shù)據(jù)，對(duì)程序員來(lái)說(shuō)這是一個(gè)挺低級(jí)的錯(cuò)誤。”
就近日連串泄密事件，“@月光博客”評(píng)論道：“相當(dāng)于實(shí)名制網(wǎng)站的電子商務(wù)平臺(tái)泄露的數(shù)據(jù)是最恐怖的……最令人郁悶的是，用戶沒(méi)有應(yīng)對(duì)措施，去電商網(wǎng)站購(gòu)買(mǎi)商品，不可能留下假的名稱、假地址、假手機(jī)號(hào)碼”。而他認(rèn)為，“政府類(lèi)服務(wù)網(wǎng)站泄露信息危害更大，導(dǎo)致很多不上網(wǎng)的用戶資料信息也遭到泄露，比商業(yè)網(wǎng)站出問(wèn)題可怕百倍。”
事件處置
省公安廳：網(wǎng)站確有技術(shù)漏洞
昨晚9時(shí)許稱已修補(bǔ)完畢，外泄網(wǎng)頁(yè)已無(wú)法訪問(wèn)
南都訊 記者陳萬(wàn)如 周皓 昨日中午12時(shí)，證實(shí)漏洞存在后，記者馬上向省公安廳反映。昨日13點(diǎn)30分后，相關(guān)網(wǎng)頁(yè)無(wú)法訪問(wèn)，顯示“內(nèi)部服務(wù)器故障”。
昨晚9時(shí)許，省公安廳通過(guò)官方微博“@平安南粵”回應(yīng)稱：“近日，網(wǎng)上有消息稱，廣東省公安廳出入境政務(wù)服務(wù)網(wǎng)存在技術(shù)漏洞問(wèn)題。廣東省公安廳對(duì)此高度重視，迅速成立專(zhuān)責(zé)小組對(duì)該情況進(jìn)行核查。經(jīng)初步調(diào)查，該網(wǎng)站確實(shí)存在技術(shù)漏洞，現(xiàn)已修補(bǔ)完畢。”
在另一條微博中，“@平安南粵”稱：“目前，公安機(jī)關(guān)正對(duì)該事件做進(jìn)一步調(diào)查。公安機(jī)關(guān)提醒，任何在網(wǎng)上非法入侵、竊取數(shù)據(jù)都屬違法犯罪行為，公安機(jī)關(guān)將對(duì)此嚴(yán)厲打擊。群眾一旦發(fā)現(xiàn)上述行為，請(qǐng)立即向公安機(jī)關(guān)舉報(bào)。”
截至昨晚，此前泄露出的后臺(tái)網(wǎng)頁(yè)，外網(wǎng)已無(wú)法訪問(wèn)。
