-
廣東出入境政務網存漏洞 444萬條信息“裸奔”
發(fā)布時間 : 2011-12-30 08:35:49 來源 : 金站網 瀏覽次數 :
屏幕畫面為廣東省公安廳出入境政務網“泄露”出的用戶信息數據后臺網頁截圖。
南都訊 記者陳萬如 近日國內多個商業(yè)網站的用戶信息被泄露，愈演愈烈的“泄密門”中，政務網站也未能幸免于“數據裸奔”。昨天上午，網友在新浪微博揭露了廣東省公安廳出入境政務服務網網站后臺存在漏洞。獲得漏洞地址的人士可以訪問2011年6月24日至昨日所有網上申請者提交的信息，共計444萬余條。
問題一個月前就暴露
昨日早上，知名IT人士@月光博客發(fā)布微博：“廣東省公安廳出入境政務服務網網上申請數據泄露，幾乎全部提交網上申請用戶的真實姓名、護照號碼、港澳通行證號碼遭到泄密，目前該漏洞還沒有修復。”并提供了相關信息的模糊截圖。
記者從相關人士處獲得漏洞地址*******.網頁顯示是網上申請數據的列表。根據泄露網頁首頁和末頁的數據，此次泄露的信息范圍是2011年6月24日至昨日中午12：30前所有通過網站申請簽注的用戶資料，總數高達4441387條。
最新信息為昨日中午12時30分李*的申請記錄。點擊每條記錄，可看到用戶的出生年月、郵寄地址、郵編、電話、證件有效期、出境事由等信息。記者在該網頁搜索欄內輸入自己的通行證號碼，赫然發(fā)現自己下半年三次申請港澳簽注的記錄和相關的個人信息。
據記者調查，相關漏洞由一名網名為“刺刺”的程序員發(fā)現，11月29日“刺刺”將漏洞信息提供給“烏云（WooY un）”平臺，昨日早上“烏云”將漏洞信息交由著名IT人士“@月光博客”發(fā)布。“烏云”平臺的負責人表示，11月29日收到漏洞信息后他們已交給相關部門處理，因為處理漏洞需要時間，所以他們在一個月后才公布漏洞。
程序員稱是“低級錯誤”
“@月光博客”分析，此次漏洞估計為程序設置問題，查看后臺信息功能的權限控制錯誤，導致普通用戶可以繞過登錄環(huán)節(jié)，直接訪問后臺頁面查看數據。
資深程序員、某電子商務網站創(chuàng)始人徐湘濤表示，一般來說，涉及后臺數據時，每個網站的管理人員會根據職責得到不同的信息權限。在用戶數據頁面展現之前，應該有“校驗身份”的過程，相關人員登錄、通過校驗后，才能訪問后臺信息。“在外網輸入網址就能查看后臺數據，對程序員來說這是一個挺低級的錯誤。”
就近日連串泄密事件，“@月光博客”評論道：“相當于實名制網站的電子商務平臺泄露的數據是最恐怖的……最令人郁悶的是，用戶沒有應對措施，去電商網站購買商品，不可能留下假的名稱、假地址、假手機號碼”。而他認為，“政府類服務網站泄露信息危害更大，導致很多不上網的用戶資料信息也遭到泄露，比商業(yè)網站出問題可怕百倍。”
事件處置
省公安廳：網站確有技術漏洞
昨晚9時許稱已修補完畢，外泄網頁已無法訪問
南都訊 記者陳萬如 周皓 昨日中午12時，證實漏洞存在后，記者馬上向省公安廳反映。昨日13點30分后，相關網頁無法訪問，顯示“內部服務器故障”。
昨晚9時許，省公安廳通過官方微博“@平安南粵”回應稱：“近日，網上有消息稱，廣東省公安廳出入境政務服務網存在技術漏洞問題。廣東省公安廳對此高度重視，迅速成立專責小組對該情況進行核查。經初步調查，該網站確實存在技術漏洞，現已修補完畢。”
在另一條微博中，“@平安南粵”稱：“目前，公安機關正對該事件做進一步調查。公安機關提醒，任何在網上非法入侵、竊取數據都屬違法犯罪行為，公安機關將對此嚴厲打擊。群眾一旦發(fā)現上述行為，請立即向公安機關舉報。”
截至昨晚，此前泄露出的后臺網頁，外網已無法訪問。
