www.dntips.ir
مطالب ۳۶۹۴
نویسندگان ۲۷۶
گروه‌های مطالب ۱۰۲۴
نقشه‌های راه ۱۱۹
دوره‌ها ۱۴
اشتراک‌ها ۱۷۹۱۴
عنوان:

‫لو رفتن اطلاعات کاربران ایرانی یک سرویس تاکسی اینترنتی


نویسنده: امین بحیرائی
تاریخ: ۱۳۹۸/۰۱/۳۰ ۱۱:۳
آدرس: www.dntips.ir

On April 18th, during our regular security audit of nonSql databases with BinaryEdge search engine, I have discovered an open and publicly available MongoDB instance which contained astonishingly sensitive information on Iranian drivers. 



مشاهده مطلب اصلی
مطالب مشابه

نظرات

  • رضا سلیم در ۱۳۹۸/۰۱/۳۰ ۱۴:۵۴
    این تاکسی اینترنتی برای شرکت تپ سی بوده و اطلاعات رانندگان لو رفته
    • جواد غدیری در ۱۳۹۸/۰۱/۳۱ ۹:۲۲
      سلام
      از کجا مشخص میشه که مربوط به تپ سی بوده؟
      توی تصاویر بانک اطلاعاتی مونگو که گذاشته نام بانک اطلاعاتی اش Doroshke-invoice-production نوشته شده
      همینطور اطلاعاتی که توی بانک اطلاعاتی نمایش می‌ده مربوط به سال 95 و 96 هست
      شاید مربوط به یه استارتاپی بوده که قبلا می‌خواستند راه بیاندازند ولی موفق نشدند و به نتیجه نرسیده اند و همینطوری اطلاعات تستی شون رو رها کرده باشند روی سروری که داشتند...
      بعید می‌دونم این بانک اطلاعاتی مربوط به تپ سی بوده باشه ضمنا طراحی بانک اطلاعاتی اش هم افتضاحه و همه اطلاعاتی که مربوط به رانندگان میتونه باشه و در تپ سی یا اسنپ و غیره الان در حال استفاده هست همخوانی نداره (مثلا سیستم نظر دهی، نقاط جغرافیایی ، امتیازدهی کاربران و خیلی موارد دیگر ...)

      ضمنا بانک اطلاعاتی مونگو اون نسخه 3.6.3 زده که قدیمی هست
  • سید امید موسوی در ۱۳۹۸/۰۱/۳۱ ۱۴:۱۸
    تصور اینکه یک نرم افزار با طیف وسیعی از کاربران عمومی، تمام اطلاعات محرمانه میلیونها کاربر را در یک دیتابیس MongoDB بدون Password و با دسترسی Full Administrative Privileges ذخیره می‌کرده است بهت انگیز است!
    • رضا سلیم در ۱۳۹۸/۰۲/۰۱ ۲۱:۱۲
      متاسفانه در ایران اکثر شرکت‌ها در ساختار سازمانی، ردیفی به نام DB Admin ندارن و این اتفاقات رخ میده
  • علیرضا آرانی در ۱۳۹۸/۰۲/۰۲ ۱۰:۳۱
    من جای راننده‌ها بودم از تپسی به دلیل این اهمال کاری عظیم و لو رفتن اطلاعات شخصی شکایت می‌کردم. الان وظیفه دستگاه‌های نظارتی است که به این موضوع رسیدگی کنند.شرکتی با این درآمد عظیم از راه فن آوری اطلاعات باید از متخصصین این امر به طور مقتضی استفاده می‌کرده. این ولنگاری و بی قانونی در زمینه فن آوری اطلاعات ما را به ناکجاآباد خواهد برد.