漏洞教導平臺烏云網百家樂 分析師最近持續披露兩個攜程網安全漏洞，稱攜程安全支付日志可被任意讀取，日志可以泄露包含有持卡人姓名、地位證、銀行卡種別、銀行卡號、CVV碼等信息。
攜程辯白稱，安全漏洞是由于專業開闢人員為排查系統問題而留下暫時日志，并由于疏忽未及時刪除。不過，據知戀人士透露，一旦掌握目次遍歷，進攻者能過份服務器根目次，從而拜訪到文件系統的其他部門，拜訪受限制文件或資本，或采取更危險行為。
此次曝光出的隱台灣百家樂私泄露疑問并非攜程一個企業存在，7天等連鎖旅店上年就被曝出存在系統安全漏洞，導致2024萬用戶地位證、手機、住址及開房時間等信息遭到泄露。
如家、漢庭、咸陽國貿大旅店、杭州維景國際大旅店、驛家365快捷旅店、東莞虎門東方索菲特旅店全部或者部門採用浙江慧達驛站網絡有限公司開闢的旅店Wi-Fi控制、認證控制系統，而慧達驛站在其服務器上即時存儲這些旅店客戶的紀實，包含有客戶名(兩個人的話都會顯示)、地位證號、開房日期、房間號等大批敏感、隱私信息。
結局由於某種理由，這些信息是可以被黑客拿到的。漏洞的根源在于慧達驛站公司控制機制的不完善，由於他們的系統要求旅店在提交開放紀實的時候進行網頁認證，但不是在旅店服務器上，而要通過慧達驛站自己的服務器，理所當然地就存下了客戶的信息。
另有，客戶信息數據同步是通過協議實現，需要認證，可是認證用戶名、暗碼是明文傳輸，各個道路都可能被輕松嗅探到，用這個認證信息可從他們數據服務器上獲得所有旅店上傳客戶開房信息。
一家安全專家就曾以如家為例，指出黑客如何可以利用這些漏洞通過遠程入侵滲入方式獲取目標服務器權限，并以此竊取用戶敏感數據信息。
7天WLAN賬號系統截圖(遊戲科技配圖)
以7天連鎖旅店WLAN賬號控制系統為例，安全專家對該系統解析過程中，發明該系統應用Structs2框架。而Structs2框架在曾被公布存在嚴重的遠程號召執行和重定向漏洞。
安全專家選擇一個URL地址進行Structs2漏洞測試。依據已公布漏洞利用想法，嘗試進行遠程號召執行漏洞的利用，嘗試執行號召hoami，即嘗試獲取百家樂 dcard當前用戶的用戶名信息。
安全專家再構造URL地址。該URL的作用是：假如目標系統存在Structs2遠程號召執行漏洞，則系統會執行我們預設的hoami號召，并將號召執行的結局信息反饋給安全專家。
在瀏覽器中提交該URL信息后，安全專家發明可以獲取當前用戶名信息，也就證明該系統存在嚴重的Structs2遠程號召執行漏洞。
通過進一步的信息獲取，獲取到與服務器環境有關的一些信息如下表所示。
在真實的入侵事件中，黑客目標不是獲取服務器相關信息，而是獲取與用戶相關敏感數據信息。安全專家首要便是利用漏洞獲取Webshell。關于Structs2框架獲取Webshell的想法已經有成熟的利用方式，僅需要通過遠程號召執行漏洞寫入文件即可實現。
通過Webshell中的文件察看性能，安全專家找到數據庫連結信息，并在該信息根基上獲取目標數據庫中黑客對照感嗜好的數據庫表及用戶的敏感數據信息。
安全專家指出，通過上述針對7天連鎖旅店網絡系統安全漏洞解析，在旅店眾多網絡系統中，假如一個系統存在安全疑問，就可能導致與旅店相關用戶的敏感數據信息泄露，從而觸發公共關于開房的驚愕，而這也恰恰驗證網絡安全的木桶原理。
在對其他連鎖旅店網絡系統的安全解析中，這些旅店網絡中幾乎都存在這種安全風險，這都將導致用戶的敏感數據信息及個人隱私的外泄，對用戶的陰礙百家樂 下三路和危害及其巨大。
另一位安全專家就對遊戲科技表示，企業，尤其是內地互聯網企業，在安全方面投入很少，一般都把精力破費在發展用戶上，沒人珍視信息安全疑問，除非出疑問后才會想起來。
|
2025-05-02
|
