Fw: [問卦] 有沒有很多旅行社網站都可能有漏洞的八卦

看板Soft_Job作者 (NA)時間7年前 (2017/06/07 04:07), 7年前編輯推噓10(11推 1噓 45→)
留言57則, 28人參與, 最新討論串1/1
※ [本文轉錄自 Gossiping 看板 #1PDmVH6r ] 作者: nakahusa (NA) 看板: Gossiping 標題: [問卦] 有沒有很多旅行社網站都可能有漏洞的八卦 時間: Wed Jun 7 03:51:42 2017 最近好幾個旅行社個資外洩的新聞， 好奇孤狗了幾個旅行社的網站來看， 結果隨便試了3個，就發現2個可能有含有漏洞的… 為了證明不是隨便虎爛，皆附上圖片。 PS：圖片中網址列裡的 %27 轉成文字就是「'」，內行懂的。 範例1：首頁最明顯的搜尋框，每一個欄位都可能有 SQL Injection 問題 http://i.imgur.com/NpI684B.png
範例2：知名旅行社，網站右下有個按鈕點進去，每一個網址參數都有 SQL Injection 問題 http://i.imgur.com/hqqDilG.png
最嚴重的 SQL Injection 都這麼容易發現了， 已經不敢繼續想下去了 XD 有沒有最好 Coding 等級練到多少再寫重要系統的卦？ ----- 剛在八卦 PO 了一篇，感嘆台灣現在的資訊軟體環境真的蠻糟的， 很多公司給薪不高，可能請到經驗不足的人， 就讓他負責重要的系統開發， 甚至是一些專門在開發軟體的公司都有這種情況， 資安漏洞一堆的系統就拿出來賣錢了。 當然，注重這方面的公司也不少就是了， 不過這不是應該大家都要注意的嗎... -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.136.23.46 ※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1496778705.A.1B5.html
推
06/07 03:53, , 1F
一間旅行社公司完全不使用網路 你參考看看
06/07 03:53, 1F
→
06/07 03:54, , 2F
Trivago
06/07 03:54, 2F
推
06/07 04:03, , 3F
前一陣子某房仲的資料庫密碼都看的到。
06/07 04:03, 3F
→
06/07 04:03, , 4F
一樓認真？
06/07 04:03, 4F
→
06/07 04:04, , 5F
一直到改版才修掉bug
06/07 04:04, 5F
→
06/07 04:04, , 6F
不過範例2真的蠻訝異的...畢竟蠻大間的
06/07 04:04, 6F
推
06/07 04:04, , 7F
show tables;truncate ...;
06/07 04:04, 7F
上面是轉錄前的推文
→
06/07 04:12, , 8F
旅行社請工程師的薪水大多就是低於市場行情
06/07 04:12, 8F
→
06/07 04:13, , 9F
就只能找到低於市場水平的人
06/07 04:13, 9F
→
06/07 04:15, , 10F
當然不是說這種新人都不能用，但是你連一個正常的Senior或
06/07 04:15, 10F
→
06/07 04:15, , 11F
有點程度的都不願意找 那就是自己承擔後果
06/07 04:15, 11F
→
06/07 04:18, , 12F
應該是說新人經驗不足時，不應該讓他直接參與重要系統的
06/07 04:18, 12F
→
06/07 04:18, , 13F
開發
06/07 04:18, 13F
→
06/07 04:19, , 14F
我指的直接參與是指 coding 或是 coding 完沒有人
06/07 04:19, 14F
→
06/07 04:19, , 15F
review
06/07 04:19, 15F
※ 編輯: nakahusa (223.137.6.239), 06/07/2017 04:45:39
噓
06/07 06:04, , 16F
旅行社的網站有什麼資安可言？
06/07 06:04, 16F
→
06/07 06:07, , 17F
SQL Injection應該是連學生作品都應該要做出預防的
06/07 06:07, 17F
→
06/07 06:41, , 18F
對他們來說，他們只願意生氣工讀生寫出這種東西，然後拿更
06/07 06:41, 18F
→
06/07 06:41, , 19F
低的薪水去找外包=_=
06/07 06:41, 19F
→
06/07 07:50, , 20F
工程師有bug可以修了
06/07 07:50, 20F
→
06/07 07:54, , 21F
有啥好意外的 你知道旅行社的薪水有多低嗎..
06/07 07:54, 21F
推
06/07 09:32, , 22F
通常是出完包才會review 沒出事主管也不會去管
06/07 09:32, 22F
推
06/07 09:48, , 23F
這很正常啊，沒能力開規格跟驗收，別人就隨便寫寫
06/07 09:48, 23F
推
06/07 09:55, , 24F
因為不少旅行社買套裝的旅行網站阿.......
06/07 09:55, 24F
推
06/07 10:05, , 25F
這些都2，3萬工程師寫的 你還能要求什麼
06/07 10:05, 25F
→
06/07 10:33, , 26F
最近正好在補完這個部分XD
06/07 10:33, 26F
→
06/07 10:54, , 27F
話說做sql injection測試會不會就有法律問題啊？
06/07 10:54, 27F
測試是沒有問題的，更何況我這只是在輸入框打個「'」， 就在 enter 隔壁，一般人在按 enter 時不小心按到都有可能勒。 主要是看測試時，是不是真的有進一步的使用這個漏洞， 進而去取得個資或是入侵的動作， 國外有些白帽 Hacker 的爭議就是這樣來的， 白帽發現漏洞時會繼續進行下一步動作， 驗證漏洞是否確實存在，若確定的話還會直接指名公開。 就像前陣子 Google 發現微軟漏洞時， 會先通知微軟，限期修復， 期限到時就會直接公開也是類似的做法。
→
06/07 11:05, , 28F
其實大部分的程式教學也都不把安全程式當教學目標，會動就
06/07 11:05, 28F
→
06/07 11:07, , 29F
好，要不然這根本不應該是經驗問題
06/07 11:07, 29F
→
06/07 11:11, , 30F
大部分的程式教學都是考倒學生為目標(X
06/07 11:11, 30F
→
06/07 12:22, , 31F
我們系上網站也是 跟實習廠商合作弄的系網被發現漏洞
06/07 12:22, 31F
→
06/07 12:22, , 32F
回報了也不修 去烏雲查 半年前就有人回報了
06/07 12:22, 32F
推
06/07 12:24, , 33F
sql injection不是基本中的基本嗎?
06/07 12:24, 33F
推
06/07 12:30, , 34F
其實都是故意埋的
06/07 12:30, 34F
→
06/07 12:38, , 35F
旅行社網頁全端工程師，大概是25k
06/07 12:38, 35F
→
06/07 12:39, , 36F
除非是雄獅那種資本額比較大，比較靠電商在賣的
06/07 12:39, 36F
→
06/07 12:39, , 37F
才會比較高，像是易遊網<
06/07 12:39, 37F
→
06/07 12:39, , 38F
喔對了，在台北喔
06/07 12:39, 38F
→
06/07 13:45, , 39F
很多旅行社沒有rd, 就外包出去，承包商也只能做到堪用的程
06/07 13:45, 39F
→
06/07 13:45, , 40F
度而已，連最基本的網站安全也顧不上。
06/07 13:45, 40F
※ 編輯: nakahusa (223.137.180.110), 06/07/2017 13:52:02
推
06/07 15:07, , 41F
易遊網也沒多高阿...XD
06/07 15:07, 41F
→
06/07 16:26, , 42F
但比起一般中小型旅行社算高了，易遊網薪資沒有超過25K
06/07 16:26, 42F
→
06/07 16:26, , 43F
嗎?
06/07 16:26, 43F
→
06/07 22:46, , 44F
源碼檢測的工具不便宜,檢測完改程式也是一筆錢
06/07 22:46, 44F
→
06/07 22:49, , 45F
second order sql injection, XSS, XSRF...一堆都要
06/07 22:49, 45F
→
06/07 22:49, , 46F
防
06/07 22:49, 46F
→
06/08 19:12, , 47F
..你在想什麼? 這些通常都是請不起的情況 隨便拿人塞一塞就
06/08 19:12, 47F
→
06/08 19:13, , 48F
開始做 然後亂做 做出一堆滿滿資安問號的"站" 再來號稱XX平
06/08 19:13, 48F
→
06/08 19:13, , 49F
台 然後連個資法的問題也不去管 資料被摸走 客人被打詐騙電
06/08 19:13, 49F
→
06/08 19:14, , 50F
話 他們還是隨便...這種就是標準的台灣技術隨便的文化產生
06/08 19:14, 50F
→
06/08 19:16, , 51F
垃圾賺錢模式...
06/08 19:16, 51F
→
06/08 19:17, , 52F
已經看到某旅遊平台在165登榜數次第1..但人家還是沒要沒緊
06/08 19:17, 52F
→
06/08 19:17, , 53F
只能建議在意資安的台灣人 沒事就別去這些站上輸入資料...
06/08 19:17, 53F
→
06/11 03:22, , 54F
面試過開3萬的連鎖旅行社
06/11 03:22, 54F
推
06/15 06:59, , 55F
旅行社通常是請外面公司做網頁設計,但往往製作好A版,老
06/15 06:59, 55F
→
06/15 06:59, , 56F
闆會要做到A+B+C,然後嫌貴。好一點公司會自己撰寫,但都
06/15 06:59, 56F
→
06/15 06:59, , 57F
是美編來兼職(看104職缺）。
06/15 06:59, 57F
‣ 更多 nakahusa 的文章
文章代碼(AID): #1PDmjlug (Soft_Job)