搜索

[28729] 2021-01-13_道德黑客违反联合国，获得100,000条私人记录+分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-01-13_道德黑客违反联合国，获得100,000条私人记录+分析 道 德 黑 客 违 反 联 合 国 ， 获 得 1 0 0 , 0 0 0 条 私 人 记 录 + 分 析 O t s 安 全   2 0 2 1 - 0 1 - 1 3 研 究 人 员 告 知 组 织 一 个 漏 洞 ， 该 漏 洞 通 过 组 织 的 漏 洞 披 露 程 序 暴 露 了 G i t H u b 凭 据 。 安 全 研 究 人 员 成 功 地 入 侵 了 联 合 国 ， 在 通 过 组 织 的 漏 洞 披 露 程 序 通 知 联 合 国 有 关 问 题 之 前 ， 访 问 了 用 户 凭 证 和 个 人 身 份 信 息 （ P I I ） ， 其 中 包 括 1 0 0 , 0 0 0 多 名 私 人 雇 员 和 项 目 记 录 。 研 究 小 组 S a k u r a   S a m u r a i 的 道 德 黑 客 使 用 了 G i t H u b 目 录 中 的 一 个 漏 洞 ， 该 漏 洞 暴 露 了 W o r d P r e s s   D B 和 G i t H u b 凭 据 ， 从 而 允 许 从 联 合 国 环 境 计 划 署 （ U N E P ） 访 问 大 量 私 人 记 录 。 研 究 人 员 在 报 告 中 写 道 ， 研 究 人 员 杰 克 逊 · 亨 利 ， 尼 克 · 萨 勒 ， 约 翰 · 杰 克 逊 和 奥 布 里 · 科 特 尔 发 现 了 漏 洞 ， 原 因 是 该 团 队 决 定 努 力 寻 找 联 合 国 漏 洞 披 露 计 划 和 名 人 堂 的 参 赛 者 ， 并 最 终 确 定 了 暴 露 这 些 证 书 的 端 点 。 他 们 写 道 ： “ 这 些 凭 证 使 我 们 能 够 下 载 G i t 存 储 库 ， 识 别 大 量 的 用 户 凭 证 和 P I I 。 ”   “ 我 们 总 共 确 定 了 超 过 1 0 万 个 私 人 员 工 记 录 。 我 们 还 在 联 合 国 拥 有 的 W e b 服 务 器 [ i l o . o r g ] 上 发 现 了 多 个 公 开 的 . g i t 目 录 ， 然 后 可 以 使 用 各 种 工 具 （ 如 ' g i t - d u m p e r ' ） 来 提 取 . g i t 内 容 。 ” 研 究 人 员 能 够 访 问 其 违 反 的 大 量 敏 感 的 联 合 国 信 息 ， 包 括 1 0 2 , 0 0 0 个 旅 行 记 录 ； 7 , 0 0 0 多 项 人 力 资 源 国 籍 人 口 统 计 记 录 ； 超 过 1 0 0 0 条 广 义 员 工 记 录 ； 4 , 0 0 0 多 个 项 目 和 资 金 来 源 记 录 ； 和 2 8 3 个 项 目 的 评 估 报 告 。 记 录 中 显 示 的 数 据 包 括 姓 名 ， 身 份 证 号 码 ， 国 籍 ， 性 别 ， 薪 级 和 与 联 合 国 雇 员 有 关 的 大 量 其 他 个 人 信 息 ， 以 及 联 合 国 环 境 规 划 署 各 个 项 目 的 身 份 证 号 码 ， 位 置 和 融 资 金 额 ， 以 及 资 金 来 源 和 其 他 具 体 细 节 。 除 了 通 过 与 G i t 有 关 的 漏 洞 访 问 记 录 之 外 ， 研 究 人 员 “ 在 严 重 程 度 较 小 的 方 面 ” 还 接 管 了 属 于 国 际 劳 工 组 织 （ I L O ） 的 S Q L 数 据 库 和 调 查 管 理 程 序 。 但 是 ， 他 们 写 道 ， 这 些 漏 洞 “ 几 乎 没 有 什 么 突 出 之 处 ” ， 而 数 据 库 和 平 台 却 “ 自 然 而 然 地 被 抛 弃 了 ” 。 研 究 人 员 观 察 到 ： “ 尽 管 如 此 ， 平 台 上 的 数 据 库 接 管 和 管 理 员 帐 户 接 管 仍 然 是 关 键 漏 洞 。 ” 研 究 人 员 在 他 们 的 帖 子 中 解 释 说 ， 访 问 S Q L 数 据 库 也 很 重 要 ， 因 为 它 是 发 现 G i t H u b 凭 据 和 最 终 记 录 记 录 的 门 户 。 他 们 说 ，
他 们 最 初 是 通 过 对 联 合 国 公 开 计 划 范 围 内 的 所 有 领 域 进 行 子 域 枚 举 来 开 始 探 索 的 。 他 们 写 道 ： “ 在 研 究 期 间 ， 我 们 开 始 使 用 工 具 对 多 个 端 点 进 行 模 糊 处 理 ， 并 最 初 发 现 i l o . o r g 子 域 具 有 公 开 的 . g i t 内 容 。 ”   “ 使 用 g i t - d u m p e r   [   h t t p s   [ ： / /   ]   g i t h u b   [ 。 ]   c o m   /   a r t h a u d   /   g i t - d u m p e r   ] ， 我 们 能 够 转 储 W e b 应 用 程 序 上 托 管 的 项 目 文 件 夹 ， 由 于 代 码 中 公 开 了 凭 据 ， 因 此 导 致 M y S Q L 数 据 库 和 测 量 管 理 平 台 的 接 管 。 ” 他 们 说 ， 在 研 究 人 员 接 管 国 际 劳 工 组 织 M y S Q L 数 据 库 并 随 后 在 调 查 管 理 平 台 上 执 行 帐 户 接 管 之 后 ， 他 们 开 始 枚 举 其 他 域 / 子 域 。 研 究 人 员 写 道 ： “ 最 终 ， 我 们 在 联 合 国 环 境 规 划 署 （ s i c ） 上 找 到 了 一 个 子 域 ， 该 子 域 使 我 们 在 经 过 一 番 摸 索 之 后 即 可 发 现 G i t H u b 凭 证 。 ” 他 们 说 ， 最 终 ， 一 旦 他 们 发 现 了 G i t H u b 凭 证 ， 研 究 人 员 便 可 以 下 载 许 多 受 密 码 保 护 的 私 有 G i t H u b 项 目 ， 并 在 其 中 找 到 针 对 联 合 国 环 境 规 划 署 生 产 环 境 的 多 组 数 据 库 和 应 用 程 序 凭 证 。 研 究 人 员 写 道 ： “ 总 共 ， 我 们 发 现 了 七 个 额 外 的 证 书 对 ， 它 们 可 能 导 致 未 经 授 权 的 多 个 数 据 库 访 问 。 ”   那 时 他 们 决 定 停 止 工 作 并 报 告 漏 洞 。 联 合 国 对 黑 客 入 侵 并 不 陌 生 ， 而 不 仅 仅 是 道 德 黑 客 。 去 年 7 月 ， 黑 客 通 过 在 明 显 的 间 谍 活 动 中 利 用 M i c r o s o f t   S h a r e P o i n t 漏 洞 破 坏 了 联 合 国 ， 据 报 道 ， 攻 击 者 可 以 访 问 估 计 4 0 0   G B 的 敏 感 数 据 。 该 黑 客 直 到 大 约 六 个 月 后 才 被 披 露 。 然 后 ， 大 约 一 年 前 ， 直 到 S a k u r a   S a m u r a i 披 露 之 日 ， E m o t e t 恶 意 软 件 背 后 的 运 营 商 针 对 联 合 国 人 员 进 行 了 一 次 攻 击 ， 目 的 是 提 供 T r i c k B o t 木 马 。 执 行 摘 要 执 行 摘 要 我 们 注 意 到 ， 联 合 国 有 一 个 漏 洞 披 露 程 序 和 一 个 名 人 堂 ， 因 此 我 们 的 安 全 研 究 小 组 S a k u r a   S a m u r a i 桜 の 侍 者 着 手 寻 找 要 向 联 合 国 报 告 的 漏 洞 。 在 研 究 过 程 中 ， J a c k s o n   H e n r y   @   J a c k s o n H H a x ， N i c k   S a h l e r ， J o h n   J a c k s o n   @ j o h n j h a c k i n g 和 A u b r e y   C o t t l e @ K i r t a n e r 确 定 了 暴 露 G i t 凭 证 的 端 点 。 这 些 凭 据 使 我 们 能 够 下 载 G i t 存 储 库 ， 从 而 识 别 大 量 用 户 凭 据 和 P I I 。 总 共 ， 我 们 识 别 出 超 过 1 0 万 个 私 人 员 工 记 录 。 我 们 还 在 联 合 国 拥 有 的 W e b 服 务 器 [ i l o . o r g ] 上 发 现 了 多 个 公 开 的 . g i t 目 录 ， 然 后 可 以 使 用 各 种 工 具 （ 例 如 “   g i t - d u m p e r ” ） 来 提 取 . g i t 内 容 。 暴 露 的 暴 露 的 P I I 旅 行 记 录 [ 两 个 文 件 ： 1 0 2 , 0 0 0 多 个 记 录 ] 差 旅 记 录 包 括 员 工 I D 号 ， 姓 名 ， 员 工 组 ， 差 旅 理 由 ， 开 始 和 结 束 日 期 ， 停 留 时 间 ， 批 准 状 态 ， 目 的 地 和 停 留 时 间 。
人 力 资 源 国 籍 人 口 统 计 [ 两 个 文 件 ： 7 , 0 0 0 多 个 记 录 ] 包 括 员 工 姓 名 ， 员 工 组 ， 员 工 I D 号 ， 人 员 国 籍 ， 人 员 性 别 ， 员 工 薪 资 等 级 ， 组 织 单 位 标 识 号 和 组 织 单 位 文 本 标 签 。 通 用 员 工 记 录 [ 一 个 文 档 ： 1 , 0 0 0 多 个 记 录 ] 索 引 号 ， 员 工 姓 名 ， 员 工 电 子 邮 件 ， 员 工 工 作 分 区 和 员 工 组 织 单 位 。 注 意 ： 带 有 “ 红 色 数 字 1 ” 的 列 代 表 员 工 的 特 定 工 作 部 门 ， 并 且 由 于 某 些 子 单 元 较 小 而 变 得 模 糊 。 项 目 和 资 金 来 源 记 录 [ 一 个 文 档 ： 4 , 0 0 0 多 个 记 录 ]
包 括 项 目 标 识 号 ， 受 影 响 地 区 ， 赠 款 和 共 同 出 资 金 额 ， 执 行 机 构 ， 国 家 ， 资 金 来 源 ， 项 目 期 限 以 及 是 否 批 准 了 项 目 / 概 念 。 评 估 报 告 [ 一 份 文 件 ： 2 8 3 个 项 目 ] 评 估 和 报 告 的 总 体 描 述 ， 进 行 的 时 期 以 及 项 目 报 告 的 链 接 。 技 术 评 估 技 术 评 估 此 外 ， 在 严 重 程 度 较 小 的 方 面 ， 我 们 设 法 接 管 了 属 于 国 际 劳 工 组 织 的 S Q L 数 据 库 和 调 查 管 理 平 台 - 也 在 联 合 国 的 V D P 计 划 范 围 内 。 但 是 ， 值 得 注 意 的 是 ， 由 于 数 据 库 和 调 查 管 理 平 台 本 质 上 已 被 完 全 抛 弃 并 且 几 乎 没 有 使 用 任 何 东 西 ， 因 此 国 际 劳 工 组 织 的 漏 洞 并 不 突 出 。 尽 管 如 此 ， 平 台 上 的 数 据 库 接 管 和 管 理 员 帐 户 接 管 仍 然 是 关 键 漏 洞 。 我 们 已 经 对 联 合 国 提 供 的 V D P 范 围 内 的 所 有 域 进 行 了 子 域 枚 举 。 在 我 们 的 研 究 中 ， 我 们 开 始 用 工 具 模 糊 多 个 端 点 ， 并 最 初 发 现 i l o . o r g 子 域 具 有 公 开 的 . g i t 内 容 。 通 过 使 用 g i t - d u m p e r   [   h t t p s : / / g i t h u b . c o m / a r t h a u d / g i t - d u m p e r   ] ， 我 们 能 够 转 储 W e b 应 用 程 序 上 托 管 的 项 目 文 件 夹 ， 从 而 由 于 暴 露 的 凭 证 而 导 致 M y S Q L 数 据 库 和 调 查 管 理 平 台 的 接 管 在 代 码 中 。 M y S Q L 凭 证 凭 证
注 意 ： 由 于 应 用 程 序 的 特 定 性 质 ， 我 们 将 不 提 供 调 查 平 台 的 图 片 。 在 我 们 接 管 了 国 际 劳 工 组 织 的 一 个 M y S Q L 数 据 库 并 在 调 查 管 理 平 台 上 进 行 了 帐 户 接 管 之 后 ， 我 们 开 始 列 举 其 他 域 / 子 域 。 最 终 ， 我 们 在 联 合 国 环 境 规 划 署 的 子 域 中 找 到 了 一 个 子 域 ， 该 子 域 使 我 们 在 经 过 一 番 摸 索 之 后 即 可 发 现 g i t h u b 凭 据 。 最 终 ， 一 旦 我 们 找 到 了 G i t H u b 凭 据 ， 便 能 够 下 载 许 多 受 密 码 保 护 的 私 有 G i t H u b 项 目 ， 并 且 在 这 些 项 目 中 ， 我 们 找 到 了 针 对 联 合 国 环 境 规 划 署 生 产 环 境 的 多 组 数 据 库 和 应 用 程 序 凭 据 。 总 共 ， 我 们 发 现 了 另 外 7 对 凭 据 对 ， 它 们 可 能 导 致 未 经 授 权 访 问 多 个 数 据 库 。 一 旦 我 们 能 够 访 问 通 过 私 有 项 目 中 的 数 据 库 备 份 公 开 的 P I I ， 我 们 决 定 停 止 并 报 告 此 漏 洞 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理