freeman99
پنج شنبه 07 اسفند 1393, 12:09 عصر
من چون پاره وقت توی یک دفتر املاک هم کار میکنم بصورت تصادفی یک حفرهء امنیتی در سامانه املاک کشوری (http://iranamlaak.ir/) کشف کردم.
این حفره به این شکله که بدون استفاده از توکن سخت افزاری (که حاوی گواهینامه دیجیتال است)، یعنی فقط با داشتن نام کاربری و کلمه عبور، میشه وارد حساب مشاور املاک در سامانه شد و قرارداد ثبت کرد و بقیهء ماجرا!
البته این حفره با یک شرایط خاصی اجرا میشه که دیگه نمیگم و بصورت تصادفی بهش برخوردم.
حالا میخواستم ببینم بابت کشف این حفره بهم پول و جایزه میدن یا اینکه میخوان به جرم نفوذ و هک و اینا دستگیرم کنن :لبخند:
اصلا این توکن و گواهینامه دیجیتال اینا فکر نمیکنم بصورت اصولی طراحی شده باشه و فکر کنم بیشتر حالت نمایشی داشته باشه! یعنی از قبلتر با شواهدی که دیده بودم این حدس رو میزدم. اصولا هم که سامانه روی HTTPS نیست، ولی حداقل همون مرحله لاگین و ورود اولیه رو هم نتونستن خوب درست کنن.
این حفره به این شکله که بدون استفاده از توکن سخت افزاری (که حاوی گواهینامه دیجیتال است)، یعنی فقط با داشتن نام کاربری و کلمه عبور، میشه وارد حساب مشاور املاک در سامانه شد و قرارداد ثبت کرد و بقیهء ماجرا!
البته این حفره با یک شرایط خاصی اجرا میشه که دیگه نمیگم و بصورت تصادفی بهش برخوردم.
حالا میخواستم ببینم بابت کشف این حفره بهم پول و جایزه میدن یا اینکه میخوان به جرم نفوذ و هک و اینا دستگیرم کنن :لبخند:
اصلا این توکن و گواهینامه دیجیتال اینا فکر نمیکنم بصورت اصولی طراحی شده باشه و فکر کنم بیشتر حالت نمایشی داشته باشه! یعنی از قبلتر با شواهدی که دیده بودم این حدس رو میزدم. اصولا هم که سامانه روی HTTPS نیست، ولی حداقل همون مرحله لاگین و ورود اولیه رو هم نتونستن خوب درست کنن.