История из разряда “Нарочно не придумаешь”. Транспортное управление Будапешта обратилось в полицию с жалобой на исследователя, сообщившего об обнаружении критической уязвимости. Найдена она была в системе оплаты проездных билетов и позволяла клиентам покупать их по любой цене. «Хакером» же оказался 18-летний юноша, обнаруживший брешь на web-сайте управления и сообщивший об ошибке администраторам сайта.
Уязвимость могла стоить (или стоила) управлению очень дорого, потому как любой при заказе билета мог менять его стоимость. Для этого было необходимо изменить HTML форму на странице браузера перед отправкой данных на сервер. Таким образом, 18-летнему исследователю удалось купить проездной билет стоимостью в 9500 форинтов (около 30 евро) всего за 50 форинтов.
Сразу же после “выгодной покупки” исследователь сообщил об этом администраторам сайта. В ответ на это он получил сообщение, что его билет аннулирован.
Эта история получила огласку в прессе. Начался разбор уязвимостей системы онлайн-билетов и разработчик web-приложения T-Systems Hungary (дочерняя компания Deutsche Telekom) совместно с транспортным управлением Будапешта обратились в полицию, дабы привлечь “негодяя” к ответственности. Той же ночью исследователь был арестован.
Кстати, список брешей, которые обсуждались различными исследователями безопасности, предшествующие аресту, выгляди так:
- Хранения пароля в открытом виде в базе данных.
- Доступ к личным данным других пользователей системы путем изменения URL.
- Пароль администратора системы – «adminadmin».
- Копирование чужих билетов.
Полиция отпустила исследователя через несколько часов после ареста. Ну и как следовало догадаться, официальная страница транспортного управления Будапешта в Facebook получила от пользователей 45 тыс. дизлайков (1 звезда).
В СМИ так же подчеркивают тот факт, что стоимость месячной поддержки системы составляет 80 тыс. евро. При этом компания-разработчик T-Systems Hungary была официальным спонсором хакерских соревнований…
Источник: http://www.securitylab.ru/
