不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

华盟学院山东省第二期线下学习计划

        不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

  背景:

  我们一直在谈第三方安全,第三方到底是哪些呢?昨天301写的是第三方不靠谱的机票代理商的问题导致某平台受到影响。今天301君看到乌云平台上公开了一个典型的案例。想必大家应该都知道网站站长和企业网站用户会使用在第三方IDC平台使用相关服务,那到底安全性究竟如何?

  故事经过:

  本次有个白帽子发现个不靠谱的IDC平台就出现了这样一例不靠谱的事情。

  某天,白帽子在进行安全测试的过程中,发现某系统存在一个低级问题,并且一直没有整改。白帽子发现某服务器开放了FTP服务,密码为123456,账户名为:idczk(怎么感觉像某idc服务商的名字?)。

        不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

  通过连接ftp白帽子发现了一个脚本,通过查看脚本代码细节,发现暴漏了某信息安全管理系统的数据库账号密码,如下图。

        不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

  并且可以全网登陆并且控制该系统,由于远程无法连接该系统,幸好找到phpmyadmin的后台,并且成功可以登陆https://**.**.**.**/myadmin/(脱敏处理)系统。

  在此过程,白帽子也发现该系统的功能非常强大,并且有知名互联网公司也躺着中枪,例如:36*、*度、*讯某些子业务也在该idc中。详情如下:

  某度。

  *讯

  某3*0。

  白帽子通过数据库查看数据表信息,发现有多个域名数据库表,其中打开这个域名数据库表(domain3)结果就有342万条信息,详情如下。

        不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

  其中,该idc平台还存在很多企业的营业执照和相关负责人的身份证证件信息,301君推测,该业务应该是域名备案所需要的相关资料。

        不靠谱的IDC平台,上百万域名躺着中枪,你中枪了?

  301君瞬间脑补了下域名备案时要求的各种资料,这样敏感的数据存放在这一类不靠谱的idc平台,真是一声唏嘘。

  很多企业在安全上做了大量的工作,而很多敏感数据不仅仅是依托于自身平台,例如:自家的数据中心,为了业务拓展也会使用大量的第三方idc平台和相关服务。而如果这样的数据放在一些不靠谱的平台上,而受到威胁,真是躺着中枪了,幸好有白帽子碰巧发现并且提交到了乌云平台,乌云平台第一时间通知给工信部cncert进行响应,并且也通知给相关单位进行及时处理,截止到现在,漏洞已经修复,避免了损失。

  最后:

  最后,安全非常重要,请谨慎选择idc平台,301君也很好奇这家平台是谁家的,貌似大家详细看该漏洞细节就知道是谁家的了。

www.idc126.com

原文地址:https://news.77169.com/HTML/20160113090322.shtm

0

发表评论