搜索

[25515] 2016-09-21_每日安全资讯：小伙变造迪士尼门票获利49万专家称属企业漏洞

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-19
2016-09-21_每日安全资讯：小伙变造迪士尼门票获利49万专家称属企业漏洞 每 日 安 全 资 讯 ： 小 伙 变 造 迪 士 尼 门 票 获 利 4 9 万   专 家 称 属 企 业 漏 洞 安 华 金 和   L i n u x 中 国   2 0 1 6 - 0 9 - 2 1 备 受 关 注 的 游 客 持 票 入 迪 士 尼 却 发 现 门 票 已 被 使 用 的 “ 悬 案 ” 终 于 告 破 ： 在 一 个 月 不 到 的 时 间 内 ， 为 乐 园 票 务 服 务 提 供 后 台 支 持 和 管 理 工 作 的 某 科 技 公 司 员 工 ， 利 用 系 统 漏 洞 ， 通 过 篡 改 日 期 变 造 门 票 2 6 0 0 余 张 ， 获 赃 款 4 9 万 余 元 。 近 日 ， 浦 东 新 区 人 民 检 察 院 以 涉 嫌 盗 窃 罪 、 掩 饰 、 隐 瞒 犯 罪 所 得 罪 ， 对 相 关 涉 案 人 员 批 准 逮 捕 。 对 此 ， 上 海 迪 士 尼 乐 园 方 面 回 应 称 ， 此 案 件 涉 及 第 三 方 供 应 商 ， 并 非 上 海 迪 士 尼 度 假 区 演 职 人 员 。 游 客 应 通 过 度 假 区 官 方 或 官 方 授 权 渠 道 购 买 门 票 。 嫌 犯 为 票 务 提 供 后 台 支 持 嫌 犯 为 票 务 提 供 后 台 支 持 2 0 1 6 年 7 月 1 4 日 上 午 ， 小 方 带 着 朋 友 来 到 上 海 迪 士 尼 乐 园 ， 准 备 入 园 时 被 乐 园 工 作 人 员 告 知 ， 其 之 前 在 阿 里 旅 行 网 通 过 支 付 宝 购 买 的 迪 士 尼 乐 园 电 子 门 票 已 在 几 天 前 被 他 人 使 用 了 ， 不 能 入 园 。 经 过 迪 士 尼 乐 园 工 作 人 员 调 查 后 发 现 ， 最 近 此 类 情 况 时 有 发 生 ， 遂 怀 疑 系 统 内 部 相 关 票 务 信 息 被 盗 并 被 篡 改 后 出 售 给 他 人 。 警 方 介 入 调 查 后 ， 根 据 网 站 登 录 的 I P   地 址 顺 藤 摸 瓜 ， 最 终 在 其 单 位 将 白 某 某 抓 获 ， 继 而 抓 获 多 名 出 售 伪 造 门 票 的 下 线 黄 牛 卖 家 。 犯 罪 嫌 疑 人 白 某 某 ， 是 一 名 9 0 后 大 学 毕 业 生 。 据 白 某 某 交 代 ， 案 发 前 在 上 海 维 音 信 息 技 术 公 司 上 班 ， 该 公 司 是 为 迪 士 尼 乐 园 票 务 服 务 提 供 后 台 支 持 和 管 理 工 作 的 ， 通 过 后 台 可 以 获 得 相 关 记 录 。 利 用 系 统 漏 洞 获 电 子 门 票 利 用 系 统 漏 洞 获 电 子 门 票 2 0 1 6 年 6 月 ， 白 某 某 认 识 了 一 个 姓 丁 的 女 黄 牛 ， 丁 某 给 了 他 一 张 迪 士 尼 电 子 门 票 ， 问 能 不 能 做 出 来 。 因 岗 位 职 责 熟 知 售 票 软 件 运 营 情 况 ， 他 就 想 试 着 做 一 下 。 当 天 ， 白 某 某 利 用 票 务 系 统 漏 洞 成 功 获 得 迪 士 尼 电 子 门 票 ， 通 过 篡 改 日 期 变 造 了 门 票 ， 随 后 萌 发 了 利 用 这 一 方 法 牟 利 的 念 头 。 白 某 某 利 用 网 络 、 微 信 等 信 息 平 台 ， 发 布 出 售 迪 士 尼 门 票 的 信 息 ， 再 根 据 下 家 需 要 的 数 量 ， 去 更 改 他 人 已 预 订 并 已 付 款 的 迪 士 尼 电 子 门 票 日 期 ， 最 后 将 更 改 后 的 电 子 门 票 订 单 确 认 号 和 门 票 二 维 码 通 过 电 子 邮 件 发 送 到 下 家 邮 箱 。
迪 士 尼 门 票 在 暑 假 期 间 的 官 方 价 格 为 4 9 9 元 ， 白 某 某 以 每 张 2 8 0 元 左 右 的 低 价 出 售 给 黄 牛 ， 黄 牛 再 加 价 出 售 给 游 客 。 由 于 这 些 改 造 后 的 电 子 门 票 大 多 能 顺 利 通 过 安 检 ， 很 多 通 过 网 络 或 现 场 黄 牛 购 票 的 游 客 在 不 知 情 的 情 况 下 ， 购 买 了 所 谓 的 打 折 票 、 低 价 票 ， 等 到 真 正 的 门 票 主 人 来 游 玩 时 ， 就 会 发 现 自 己 的 门 票 已 经 被 使 用 而 无 法 入 园 。 导 致 迪 士 尼 损 失 导 致 迪 士 尼 损 失 8 7 万 元 万 元 据 初 步 统 计 ， 从 6 月 2 7 日 至 7 月 2 0 日 短 短 一 个 月 不 到 ， 犯 罪 嫌 疑 人 白 某 某 疯 狂 作 案 ， 盗 取 迪 士 尼 乐 园 门 票 二 维 码 票 号 2 6 0 0 余 张 ， 篡 改 日 期 后 贩 卖 给 他 人 共 计 1 7 0 0 余 张 ， 累 计 获 赃 款 4 9 万 余 元 ， 造 成 上 海 迪 士 尼 乐 园 损 失 8 7 万 余 元 。 浦 东 新 区 人 民 检 察 院 认 为 ， 犯 罪 嫌 疑 人 白 某 某 以 非 法 占 有 为 目 的 ， 采 用 秘 密 手 段 窃 取 公 私 财 物 ， 数 额 特 别 巨 大 ， 其 行 为 已 触 犯 《 中 华 人 民 共 和 国 刑 法 》 第 二 百 六 十 四 条 之 规 定 ， 涉 嫌 盗 窃 罪 ； 而 帮 助 其 销 售 变 造 迪 士 尼 门 票 的 几 名 黄 牛 ， 犯 罪 嫌 疑 人 申 某 、 郭 某 明 知 是 他 人 犯 罪 所 得 的 赃 物 而 予 以 收 购 ， 其 行 为 已 触 犯 《 中 华 人 民 共 和 国 刑 法 》 第 三 百 一 十 二 条 之 规 定 ， 涉 嫌 掩 饰 、 隐 瞒 犯 罪 所 得 罪 ， 依 照 《 中 华 人 民 共 和 国 刑 事 诉 讼 法 》 　 相 关 规 定 ， 已 对 上 述 三 人 批 准 逮 捕 。 专 家 称 破 解 无 需 解 码 软 件 专 家 称 破 解 无 需 解 码 软 件 仅 凭 一 个 技 术 人 员 就 能 成 功 盗 票 数 千 张 门 票 ， 这 是 个 什 么 样 的 漏 洞 ？ 对 此 ， 华 东 师 范 大 学 电 子 科 技 副 主 任 钱 冬 明 介 绍 ， 常 见 的 二 维 码 在 形 成 前 大 多 是 代 码 、 字 符 串 或 是 链 接 地 址 ， 白 某 某 有 职 务 之 便 ， 完 全 了 解 生 成 二 维 码 的 内 容 和 过 程 ， 无 论 是 何 种 形 式 ， 只 要 在 原 先 的 内 容 加 以 修 改 ， 就 能 生 成 新 的 再 利 用 的 二 维 码 ， 这 些 对 于 技 术 员 来 说 没 有 难 度 ， 他 们 甚 至 无 需 用 解 码 软 件 破 解 。 钱 冬 明 认 为 ， 这 纯 粹 是 企 业 管 理 漏 洞 ， 与 技 术 漏 洞 无 关 。 因 为 管 理 漏 洞 导 致 了 技 术 员 利 用 技 术 方 法 实 现 了 盗 票 ， 对 企 业 造 成 了 损 失 。 而 且 ， 白 某 某 是 在 企 业 自 身 的 售 票 系 统 里 改 日 期 ， 不 是 自 己 建 造 了 一 套 系 统 。 换 言 之 ， 是 企 业 给 了 白 某 某 这 个 平 台 和 权 限 。 理 论 上 讲 ， 上 海 迪 士 尼 某 一 天 出 票 数 量 和 当 天 入 园 人 数 一 比 较 ， 就 能 看 出 端 倪 ， 但 没 人 发 现 。 在 其 盗 票 后 ， 不 仅 票 务 平 台 公 司 没 人 知 晓 ， 连 购 票 者 也 毫 不 知 情 ， 这 又 是 很 大 的 漏 洞 。 钱 冬 明 还 指 出 ， 上 海 迪 士 尼 门 票 的 二 维 码 不 是 实 时 、 动 态 的 ， 很 容 易 被 盗 。 通 俗 地 说 ， 一 出 票 就 是 一 组 固 定 图 案 ， 且 与 购 买 者 毫 无 关 联 ， 的 确 不 安 全 。 如 果 在 改 门 票 信 息 时 需 要 手 机 号 码 或 是 动 态 验 证 码 等 内 容 ， 就 比 较 靠 谱 ， 也 更 安 全 。 游 客 损 失 均 由 园 方 承 担 游 客 损 失 均 由 园 方 承 担 昨 天 ， 记 者 从 浦 东 新 区 人 民 检 察 院 获 悉 ， 近 日 就 案 件 暴 露 出 的 票 务 系 统 管 理 漏 洞 ， 检 方 已 以 建 议 形 式 通 告 了 迪 士 尼 运 营 方 。 对 此 ， 上 海 迪 士 尼 乐 园 方 面 表 示 ， 此 案 件 涉 及 第 三 方 供 应 商 ， 并 非 上 海 迪 士 尼 度 假 区 演 职 人 员 。 为 保 障 游 客 的 个 人 权 益 ， 游 客 应 通 过 度 假 区 官 方 或 官 方 授 权 渠 道 购 买 门 票 。 园 方 还 表 示 ， 之 前 发 生 的 游 客 损 失 均 由 园 方 承 担 ， 他 们 已 经 及 时 更 新 了 电 子 门 票 修 改 的 登 录 页 面 和 所 需 密 码 形 式 ， 杜 绝 了 此 类 现 象 的 发 生 。 [ 游 客 质 疑 游 客 质 疑 ] 名 为 实 名 购 票 进 园 却 不 核 实 7 月 去 过 上 海 迪 士 尼 的 游 客 蒋 小 姐 介 绍 ， 她 和 朋 友 就 有 这 样 的 遭 遇 。 通 过 某 网 站 买 了 票 ， 可 当 天 到 乐 园 大 门 口 竟 然 发 现 不 能 使 用 。 蒋 小 姐 和 朋 友 质 疑 ， 实 名 制 的 票 怎 会 不 能 用 ？ 根 据 迪 士 尼 官 网 上 的 相 关 规 定 ， 购 票 时 ， 购 买 人 需 提 供 相 关 身 份 证 信 息 ， 一 张 身 份 证 最 多 只 能 购 买 5 张 ， 入 园 时 ， 需 要 携 带 购 票 凭 证 和 购 票 时 登 记 的 有 效 身 份 证 件 原 件 。 蒋 小 姐 说 ： “ 举 个 例 子 。 用 我 的 身 份 证 为 一 家 三 口 买 了 票 ， 入 园 时 我 一 定 要 在 场 ， 用 身 份 证 验 票 后 才 能 带 领 其 他 两 位 家 庭 成 员 入 园 。 这 看 着 很 严 格 的 购 票 流 程 ， 怎 么 会 出 现 上 述 情 况 ？ ”
直 到 她 们 进 了 迪 士 尼 ， 疑 惑 才 解 开 。 “ 入 园 时 的 管 理 并 没 有 那 么 严 格 。 检 票 口 的 工 作 人 员 根 本 不 核 实 身 份 信 息 ， 连 核 对 照 片 的 步 骤 也 省 去 了 。 只 要 二 维 码 能 刷 ， 就 能 进 去 。 ” 蒋 小 姐 说 ， 如 此 看 来 ， 白 某 利 用 了 一 些 漏 洞 ， 偷 了 别 人 已 买 却 还 没 使 用 的 票 出 售 ， 其 实 迪 士 尼 在 执 行 相 关 规 定 上 也 有 不 足 。 来 源 ： 新 闻 晨 报   更 多 资 讯 更 多 资 讯 1 .   漏 洞 已 修 复   特 斯 拉 已 开 始 推 送 新 的 软 件 升 级 h t t p : / / t . c n / R c O m m i P 2 .   傅 园 慧 身 份 证 号 4 0 元 一 个 , 再 证 信 息 泄 露 泛 滥 h t t p : / / t . c n / R c O m 3 H 1 3 .   朝 鲜 不 小 心 泄 漏 了 它 的 . k p 域 名 D N S 数 据 h t t p : / / t . c n / R c O m 1 c S 4 .   【 漏 洞 预 警 】 M e t a s p l o i t   反 序 列 化 漏 洞 ， 可 远 程 非 授 权 执 行 代 码 h t t p : / / t . c n / R c O m B 7 T （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理