Служба безпеки сайту www.eps.te.ua бдить денно і нощно

[Delf]

Нині трапилась зі мною оказія .. подзвонив серйозний чоловік сказав що він з міської ради
каже що я сякий такий злостний хакер хочу взломати сайт
www.eps.te.ua

даний ресурс надає доступ до квитанцій за оплату комунальних платежів
(повна адреса є в квитанції про оплату)
щось типу
https://www.eps.te.ua/ternopil/account/view/xxxxx (xxxx якийсь ваш ідентифікатор він є на всіх квитанціях про оплату)
що цікаво що не питає ні пароля ні юзера а зразу по тому урлу показує оплату (останню квитанцію)...
типу якщо перебрати ті ідентифікатори (8 символів букви і цифри)
то можна мати доступ до наших з вами рахунків за комунальні послуги (хз чи це секретна інформація але все ж то не є добре)

так от попробував я кілька sql інєкцій зробити туди, ясне діло не вканало.. ну тай добре думаю як така лажа з доступом без паролів то хоч є захист від чогось...

а через день дзвінок що я такий сякий нехороший ламати їх пробував і якщо не припиню буде мною займатися відповідна служба

вичислити мене було просто як два пальці об асфальт.. я свою квитанцію перед тим дивився.

бдят адміни... аж занадто...
чи то адміну вечерком скучно було.. він вирішив логи почитати кулхацкерів пошугати
P.S.
Може мене в базу злостних хакерів занесли.. аж підріс в своїх очах...
цікаво чи вони до всіх так дзвонять..
головне дзвонили в сьомій вечора коли всі нормальні службовці вже по домах...
P.P.S
Привіт адмінам з міської ради....

[ColdMineR]

Ну підібрати пару цифр шоб подивиися квитанцію сусіда, то одне, а sql інєкції, то вже інша справа. не вмієш замітати сліди, то краще не випробовуй долю Йди ще пограйся з сайтом president.gov.ua .

[Delf]

так ніхто їх ламати не збирався..
якби збирався то б не сидів напряму з домашньої машини та щей свої дані б не дивився
я розумію якщо я валив би кілька годин запити різноманітні... чи були б дійсно збої в роботи сайту
а то запитів було відсили десяток
дивно мені просто

просто такими дзвінками вони тільки інтерес підігрівають

Додано через 4 хвилини

Цитата

Йди ще пограйся з сайтом president.gov.ua .

ІМХО якби до всіх дзвонили хто намагається хакнути сайт янека то б блін спеціальну людину тре виділити щоб ніфіга не робила а дзвонила і шугала малолітніх і не дуже "хакерів"

[Socio]

Згадалася цитата з фільму соц мережі.

Алгоритм взлому вашої крутої системи в мене на вікні записаний двома рядками

Колись також мав справи з такими спецслужбами. Коли взломав айбокс через помилку в їх програмному забезпеченні

[Vyshnevskyy]

А ти не займайся єрундою, то ніхто і не дзвонитиме. А то понадивляютсья кінів, і тицяють пальцями де не тре)

[Delf]

такі дзвінки тільки підштовхують до дій...
бо реально притянути до відповідальності за теке дуже складно (якщо не рахувати засоби дізнання міліції такі як пакет на голову, пальці в двері і т.п.)
бо навіть якщо буде доказано що щось там зроблено саме з мого домашнього компа то це не доводить моєї провини навіть якщо я в той момент за ним сидів.

єдине що підвищеться відчуття своєї значущості і самооцінка у самих дзвонящих (бо реально ніякої шкоди їм не робили і причина дзвонити була одна - шуганути)

так звичайно спочатку кулцацкер злякається і 90% з таких дадуть спокій їм але 20% будуть діяти інакше пройде час він набереться практики, буде орієнтуватися в законодавстві...і буде діяти обережніше і професійніше (а з тих 90% що зашугалися і так би нічого путнього в цьому плані не вийшло)

і хер зна звідки візьметься масована DoS атака, або систематично сайт буде падати.. і будуть ті адміни звітувати перед начальством - от нас ламають з сербії, чи з албанії (при мені таке адмін казав начальству)

а насправді хтось під боком через ланцюжок анонімних проксі лазить і юзає бородатий сплоїт трирічної давності

просто я надивився вже на таких адмінів а особливо в державних структурах де досить рідко затримуються хороші спеціалісти

P.S. Я не бавлюся взломами просто я трохи займаюсь розробкою сайтів і було дуже цікаво чи дійсно за купу бабла не зробили гімно як у нас як правило роблять щоб нажитись на бюджеті. Коли подзвонили спочатку справді злякався що ні за що домахалися, а потім подумав що явно не мудрі вони там раз таке роблять без поважних причин ...

[Vyshnevskyy]

Ну-ну

Цитата:

Допис від Jony

2.10 Заборонено обмежувати свою відповідь словами "дякую", "ха-ха", "круто", респект "," куул " та інших подібних або просто вставляти смайл.

[Delf]

Цитата

Допис від Vyshnevskyy

Ну-ну

угу

Цитата:

Допис від Jony

2.10 Заборонено обмежувати свою відповідь словами "дякую", "ха-ха", "круто", респект "," куул " та інших подібних або просто вставляти смайл.

[kolibryks]

Цитата:

Допис від Delf

я надивився вже на таких адмінів а особливо в державних структурах де досить рідко затримуються хороші спеціалісти

Усе правильно - у державних структурах хороших спеціалістів просто немає, причому не тільки у ІТ. Жоден більш-менш хороший спец не буде працювати за такі гроші, хіба буде красти. Мені один такий знавець розказував, що XP Home Edition не можна на фірмі ставити, аж поки не пальцем не ткнув у ліцензійну угоду, де чітко пише: "чи юридичним"
те ж саме і у тебе - вивчили нове слово "логи" і вчаться читати по латинськи, а мозги компостувати держава завжди вміла. Забий на них болт і з домашнього ПК таким не грайся. Для цього є USB-Wi-Fi та зламані точки доступу.

[Artur3000]

А як попасти в ту статистику, в квитанції є цей сайт, ввожу а воно хоче логін і пароль, а де його взяти?

[FortYear]

Цитата:

Допис від Artur3000

А як попасти в ту статистику, в квитанції є цей сайт, ввожу а воно хоче логін і пароль, а де його взяти?

уважніше гляньте на початок адреси
там не http:// а https://

[Vyshnevskyy]

Цитата:

Допис від kolibryks

Забий на них болт і з домашнього ПК таким не грайся. Для цього є USB-Wi-Fi та зламані точки доступу.

Відчувається досвід у Ваших словах))

[Bodya]

колись, після універу, мав честь проходити стажування на роботу у компютерному відділі у білій хаті. Щодо того що немає там нормальних спеців то є неправда, правда в тому що таких там дуже мало, тобто якщо у компютерному відділі працювало, здається 5 чоловік, то тільки один хлопець віком приблизно 28-30років вмів все робити, і причому був досить толковим в цьому ділі, іншим за 40 і їхній максимум - повільно набрати нескладний текст і ще роздавати команди, робити каву, говорити по телефону, короче хто що вміє і хто на що вчився. А на рах зарплати то там не все так печально, є ще пільги в держслужбовців (причому багато), появляються звязки, є можливість карєрного росту, так сказать... ну і на крайняк підзаробити завжди можна якщо вміти щось робити і мати вільний час, а в них з вільним часом не біда. Нащастя мене не взяли туда на роботу, чому - зрозуміло.

На рахунок того що для взломів різні види безпровідного нету і чужі мережі є безпечними то є тоже неправда, так як не все так просто. Будь кого можна вичислити і знайти тільки питання в тому чи є доцільність (фінансова чи інша). Технічні можливості завжди дозволять.

[pberit]

А я б на їхньому місці взагалі зробив таку інформацію відкритою тоді б це трохи стимулювало людей платити, бо стидно від сусідів. Та й зараз вона не є якоюсь надсекретною, жеки часто вивішують списки боржників у під'їздах, та й більшість поштових ящиків такі що можна глянути чим живуть сусіди.

Колись на сайті djuice поповнення рахунків мало великі недоліки. Так ввівши не правильно номер картки вибивало повідомлення що номер картки не вірний, якщо номер картки правильний але варіфікаційний код не правильний то так і писало не правильний цей код. Ніби підказувало... Жодних обмежень по кількості спроб не було, так можна було довго підбирати коди карток. З часом даний баг вони закрили обмеживши кількість спроб та ще відсилають код підтвердження на телефон. Думаю дехто з кардерів міг використати даний сайт...

[sector119]

Конституція України

Стаття 32. Ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України.

Не допускається збирання, зберігання, використання та ***поширення конфіденційної інформації про особу без її згоди***, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

[castor]

Цитата

Допис від sector119

Конституція України

Стаття 32. Ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України.

Не допускається збирання, зберігання, використання та ***поширення конфіденційної інформації про особу без її згоди***, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

дані про стан оплати ком послуг є конфіденційними?

[sector119]

Цитата

Допис від castor

дані про стан оплати ком послуг є конфіденційними?

Статтею 23 Закону України "Про інформацію" встановлено, що інформація про особу – це сукупність документованих або публічно оголошених відомостей про особу.
Основними даними про особу (персональними даними) є: національність, освіта, сімейний стан, релігійність, стан здоров’я, ***а також адреса, дата і місце народження.***
Персональні дані – окремі відомості про фізичну особу чи сукупність таких відомостей, що ідентифіковані або можуть бути ідентифікованими [1, 145].
Джерелами документованої інформації про особу є видані на її ім’я документи, підписані нею документи, а також відомості про особу зібрані державними органами влади та органами місцевого самоврядування в межах своїх повноважень.

Якщо дані прив'язані до адреси, місця проживання - то так. Місце проживання - вже є персональними (конфіденційними) даними і росповсюджувати їх заборонено у більшості випадків.

[HakerHP]

Цілком правильно, зведені відомості про ососбу є відомостями обмеженого доступу, їх збір, розповсюдження і т.ін. передбачені вимогами ЗУ "Про інформацію" та ЗУ "Про захист персональних даних"

[Yurk0]

Тепер можна заносити показники і дивитися історію оплат..

Цитата

Тернополянам доступний електронний варіант квитанції про оплату комунальних послуг

Відтепер усі мешканці Тернополя та Тернопільського району зможуть в електронному вигляді побачити скільки потрібно заплатити за комунальні послуги. Програма, якою користують у відділеннях Ощадбанку, будь-яких інших банків та поштових відділеннях для прийому оплат, має новий сервіс. Він призначений для користування саме платників. Послуга - безкоштовна. А електронна адреса та персональний код зазначені на кожній квитанції про оплату.
Відтепер в кінці кожної квитанції про оплату комунальних послуг надрукована електронна адреса з персональним кодом платника. Аби побачити свою персональну сторінку потрібно зайти на вказану електронну адресу. Останні двадцять чотири символи - це і є персональний код платника. Користувач побачить таку ж електронну сторінку, як і касир, що приймає комунальні платежі.

Михайло ШИДЛІВСЬКИЙ директор підприємства, яке обслуговує системи комунальних платежів

Ви вже зареєстровані в системі. Провівши оплату в будь-якому відділенні ощадного банку, пошти чи іншого банку, вам видається на руки квитанція. Іменно за вашу квартиру, по якій ви провели оплату, де внизу квитанції є інформація, де чітко вказаний ваш код. Ви його просто набираєте по ссилочці, яка там прописана і заходите на свою сторінку.

Послуга дозволяє також переглянути історію оплат. Тут можна отримати не тільки детальну інформацію по кожній оплаті, а й побачити в якому відділенні розрахувались за комунальні послуги та о котрій годині. Можна на сайті вносити і показники лічильників.

Михайло ШИДЛІВСЬКИЙ директор підприємства, яке обслуговує системи комунальних платежів

Мешканцям потрібно було раніше дзвонити у відповідні служби, передавати ці лічильники. Це створює певні незручності, бо деколи важко додзвонитися. На сьогоднішній день, зайшовши на своє помешкання через інтернет ви маєте можливість, ввівши показники лічильників і натиснувши одну кнопку, передати повністю показники відразу по усіх службах.

Для усіх платників доступ та користування сервісом - безкоштовні. Персональна інформація захищена надійно, розповідає Михайло Шидлівський. Код кожної квартири складається з двадцяти чотирьох символів, де використані великі та малі латинські літери, а також цифри, тож підібрати його - неможливо.

Погуглив трошки).. Розробником є ПП Укрспецінформ.
+ ось тендер Тернопільводоканалу, який виграла ця фірма..

[tapac_ko]

Сьогодні взяв свою квитанцію і там внизу тепер пише про інформацію онлайн. Тепер вони замінили номер рахунку унікальним кодом, просто так перебирати тепер негоден.