Fw: [問卦] 有沒有很多旅行社網站都可能有漏洞的八卦

[nakahusa (NA)]

※ [本文轉錄自 Gossiping 看板 #1PDmVH6r ]

作者: nakahusa (NA) 看板: Gossiping
標題: [問卦] 有沒有很多旅行社網站都可能有漏洞的八卦
時間: Wed Jun  7 03:51:42 2017

最近好幾個旅行社個資外洩的新聞，
好奇孤狗了幾個旅行社的網站來看，
結果隨便試了3個，就發現2個可能有含有漏洞的…
為了證明不是隨便虎爛，皆附上圖片。

PS：圖片中網址列裡的 %27 轉成文字就是「'」，內行懂的。


範例1：首頁最明顯的搜尋框，每一個欄位都可能有 SQL Injection 問題

http://i.imgur.com/NpI684B.png


範例2：知名旅行社，網站右下有個按鈕點進去，每一個網址參數都有 SQL Injection 問題

http://i.imgur.com/hqqDilG.png


最嚴重的 SQL Injection 都這麼容易發現了，
已經不敢繼續想下去了 XD
有沒有最好 Coding 等級練到多少再寫重要系統的卦？

-----

剛在八卦 PO 了一篇，感嘆台灣現在的資訊軟體環境真的蠻糟的，
很多公司給薪不高，可能請到經驗不足的人，
就讓他負責重要的系統開發，
甚至是一些專門在開發軟體的公司都有這種情況，
資安漏洞一堆的系統就拿出來賣錢了。

當然，注重這方面的公司也不少就是了，
不過這不是應該大家都要注意的嗎...

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.136.23.46
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1496778705.A.1B5.html
推 jojoStar: 一間旅行社公司完全不使用網路  你參考看看
→ formatted: Trivago
推 ikai99: 前一陣子某房仲的資料庫密碼都看的到。
→ nakahusa: 一樓認真？
→ ikai99: 一直到改版才修掉bug
→ nakahusa: 不過範例2真的蠻訝異的...畢竟蠻大間的
推 woogee: show tables;truncate ...;
上面是轉錄前的推文

→ tw689: 旅行社請工程師的薪水大多就是低於市場行情
→ tw689: 就只能找到低於市場水平的人
→ tw689: 當然不是說這種新人都不能用，但是你連一個正常的Senior或
→ tw689: 有點程度的都不願意找 那就是自己承擔後果
→ nakahusa: 應該是說新人經驗不足時，不應該讓他直接參與重要系統的
→ nakahusa: 開發
→ nakahusa: 我指的直接參與是指 coding 或是 coding 完沒有人
→ nakahusa: review
※ 編輯: nakahusa (223.137.6.239), 06/07/2017 04:45:39
噓 shinmeteor: 旅行社的網站有什麼資安可言？
→ Louis5213: SQL Injection應該是連學生作品都應該要做出預防的
→ buper: 對他們來說，他們只願意生氣工讀生寫出這種東西，然後拿更
→ buper: 低的薪水去找外包=_=
→ t78973677: 工程師有bug可以修了
→ robler: 有啥好意外的 你知道旅行社的薪水有多低嗎..
推 skitty: 通常是出完包才會review 沒出事主管也不會去管
推 jack0204: 這很正常啊，沒能力開規格跟驗收，別人就隨便寫寫
推 mark0405: 因為不少旅行社買套裝的旅行網站阿.......
推 Eric0605: 這些都2，3萬工程師寫的 你還能要求什麼
→ dreamnook: 最近正好在補完這個部分XD
→ jennya: 話說做sql injection測試會不會就有法律問題啊？
測試是沒有問題的，更何況我這只是在輸入框打個「'」，
就在 enter 隔壁，一般人在按 enter 時不小心按到都有可能勒。

主要是看測試時，是不是真的有進一步的使用這個漏洞，
進而去取得個資或是入侵的動作，
國外有些白帽 Hacker 的爭議就是這樣來的，
白帽發現漏洞時會繼續進行下一步動作，
驗證漏洞是否確實存在，若確定的話還會直接指名公開。

就像前陣子 Google 發現微軟漏洞時，
會先通知微軟，限期修復，
期限到時就會直接公開也是類似的做法。

→ ssccg: 其實大部分的程式教學也都不把安全程式當教學目標，會動就
→ ssccg: 好，要不然這根本不應該是經驗問題
→ dreamnook: 大部分的程式教學都是考倒學生為目標(X
→ vi000246: 我們系上網站也是 跟實習廠商合作弄的系網被發現漏洞
→ vi000246: 回報了也不修 去烏雲查 半年前就有人回報了
推 keyut2433: sql injection不是基本中的基本嗎?
推 stosto: 其實都是故意埋的
→ crossdunk: 旅行社網頁全端工程師，大概是25k
→ crossdunk: 除非是雄獅那種資本額比較大，比較靠電商在賣的
→ crossdunk: 才會比較高，像是易遊網<
→ crossdunk: 喔對了，在台北喔
→ bobju: 很多旅行社沒有rd, 就外包出去，承包商也只能做到堪用的程
→ bobju: 度而已，連最基本的網站安全也顧不上。
※ 編輯: nakahusa (223.137.180.110), 06/07/2017 13:52:02
推 f124: 易遊網也沒多高阿...XD
→ crossdunk: 但比起一般中小型旅行社算高了，易遊網薪資沒有超過25K
→ crossdunk: 嗎?
→ ChungLi5566: 源碼檢測的工具不便宜,檢測完改程式也是一筆錢
→ ChungLi5566: second order sql injection, XSS, XSRF...一堆都要
→ ChungLi5566: 防
→ bndan: ..你在想什麼? 這些通常都是請不起的情況 隨便拿人塞一塞就
→ bndan: 開始做 然後亂做 做出一堆滿滿資安問號的"站" 再來號稱XX平
→ bndan: 台 然後連個資法的問題也不去管 資料被摸走 客人被打詐騙電
→ bndan: 話 他們還是隨便...這種就是標準的台灣技術隨便的文化產生
→ bndan: 垃圾賺錢模式...
→ bndan: 已經看到某旅遊平台在165登榜數次第1..但人家還是沒要沒緊
→ bndan: 只能建議在意資安的台灣人 沒事就別去這些站上輸入資料...
→ ilmb1314: 面試過開3萬的連鎖旅行社
推 yoa0930: 旅行社通常是請外面公司做網頁設計,但往往製作好A版,老
→ yoa0930: 闆會要做到A+B+C,然後嫌貴。好一點公司會自己撰寫,但都
→ yoa0930: 是美編來兼職(看104職缺）。