alzimin Sep 16 2020 at 17:25

Как плохо спроектированный UX у теста на коронавирус чуть не посадил нас на самоизоляцию, но дырка в безопасности спасла

3 min

39K

Information Security*Interfaces*Data storage*IT-emigration

+187

Comments 23

disakov Sep 16 2020 at 18:36

Для быстрого перебора вместо скрипта можно юзать бесплатную версию Burp Suite. Там все для этого есть. А так IDOR, отсутствие лимита на запросы. Классика. Хотя лимит тоже можно обойти, смотря как он сделан.

+10

symbix Sep 17 2020 at 00:09

В ситуации, когда надо получить результат в крайне ограниченное время, уж точно лучше написать скрипт на хорошо знакомом языке, чем пытаться изучить незнакомый софт. Тем более там писать-то)

+20

disakov Sep 17 2020 at 02:26

Совершенно согласен. Просто это де-факто основной инструмент для веб тестирования, вот и упомянул. Вдруг автор решит еще IDOR поискать где-нибудь.

myemuk Sep 16 2020 at 19:14

alzimin, Слил данные своей жены )) И, кстати, не забыл ее поздравить с днём рождения? ))

-36

Vsevo10d Sep 17 2020 at 12:03

Товарищ, проснитесь, вы не на дваче.

+16

Bringoff Sep 16 2020 at 22:04

был рад, что нас пропустили без карантина

Что-то тема не раскрыта — результаты теста жены вы ведь так и не получили? Почему тогда пропустили?

alzimin Sep 16 2020 at 22:17

Получили, просто он на другой номер паспорта.
Но т.к. имя/фамилия и дата рождения совпадает, к тому же у нас был barcode – нам поверили.

+15

irsick Sep 16 2020 at 22:08

Но было 9 утра и ночь без сна, я опаздывал на онлайн встречу и был рад, что нас пропустили без карантина, поэтому просто начал свой путь по Европе.

Вот так всегда! На самом интересном месте! (с)

alzimin Sep 16 2020 at 22:20

Тут был комментарий про то, на чем писал скрипт (я его случайно замьютил).

Я быстро запустил через Swift (т.к. в прошлом мобильник и рука набита сделать такое за 1 минуту), но второй бы по приоритету был бы питон.

streem Sep 22 2020 at 14:42

Запросы слали через симулятор? :)

alzimin Sep 22 2020 at 14:43

Уже не помню, но, вероятно, да или создал macOS приложение)

liquiddeath13 Sep 17 2020 at 01:56

интересная статья! грустно осознавать, что гос. домен не гарантирует высокий уровень сохранности данных. если раскручивать тему с получением персональных данных и дальше… а как там в Турции с контролем за сохранностью и приватностью персональных данных?)

UFO just landed and posted this here

alzimin Sep 17 2020 at 12:18

Спасибо, я не разбирался в вопросе, но местные продвинутые ребята говорили, что там очень много распила денег и, предпологаю, реализация соответствующая (и товарищ выше тоже это подметил).

Shporsoft Sep 17 2020 at 12:16

Тут и в платформах онлайн-обучения есть 'дыры'. Например в onlinemektep.org. Я получал плохие баллы по тестам, 7/10. После этого решил изучить систему, и понял что UI/UX написан на фреймворке Vue.js. А данные в шаблон передаются по открытому JSON который виден в Devtools>Application>Storage. Правильные ответы помечены флажком "right":true. Когда я это узнал, радости не было предела! Только жаль что JSON Beautifier всегда выдает ошибку неправильного синтаксиса.

TheShock Sep 17 2020 at 13:14

Только жаль что JSON Beautifier всегда выдает ошибку неправильного синтаксиса.

Вполне возможно, что там просто не JSON, а джаваскрипт. Можно попробовать сделать евал в консоли

Fragster Sep 17 2020 at 13:40

Это просто json5

shabelskiy Sep 17 2020 at 13:07

Детектив!

robotikz Sep 17 2020 at 15:20

Смысл такое ломать? Это же прототипы, на быструю руку сделаны

alzimin Sep 17 2020 at 15:20

Чтобы не сесть на самоизоляцию.

IndyCar Sep 22 2020 at 14:42

хак кривой реальности, но сгодится, если не часто такое предпринимать ))

-1

Wesha Sep 18 2020 at 05:13

А зачем номер паспорта "526**6505" замазывали? Сами ж говорите — он неизвестно чей. Так что для читателей это просто число, ничего с ним не сделать. :)

А за 2 часа вполне можно было взять страницу "своего" результата, в HTML подправить имя-фамилию и показать как результат жены :)

А как сейчас — погранец мог бы посмотреть на женин результат и сказать — "чё это вы мне показываете, у вас номер пачпорта не такой!"

alzimin Sep 18 2020 at 12:41

Замазал для приличия, это чужой паспорт.

Прилетали люди из Стамбула с одинаковыми системами теста, на них был QR код ведущий на официальный сайт, где были написаны данные, пограничники уходили в отдельную комнату, где специальные люди проводили с распечаткой пару минут. Догадываюсь, что тут риски были слишком большие и не стоили себя ;)

Show the best of all time