Дыры на zakupki.gov.ru

    Обнаруженная ранее дыра в системе безопасности гова — ещё не самая глубокая.
    Если зайти на ФТП сервер гова… («Полная база данных извещений о размещении заказов, полная база данных протоколов о размещении заказов, а также полная база данных единого реестра контрактов с разбивкой по субъектам Российской Федерации» — взято с главной страницы Zakupki.gov.ru — free:free@77.246.101.195:21), то среди кучи папок с названиями областей, можно обнаружить папку «Tambovskaja_obl» и увидеть, что права на неё установлены весьма специфические для папки, содержимое которой предназначено только для скачивания — 777. Чем грозят подобные права, думаю, объяснять не нужно — любой может зайти и начать резвится внутри этой папки как его душе угодно.
    Реклама
    AdBlock похитил этот баннер, но баннеры не зубы — отрастут

    Подробнее

    Комментарии 55

      +5
      Полностью закрыли FTP для этого юзера :) и ответили

      Ваше обращение с номером SD1000383520 было закрыто.

      Решение:
      В данной папке находятся сведения о заказе, которые обычно отображены в открытой части ООС.Загружать туда сведения никто не может.
        +2
        О-о, ваще-е!…
          +42
          Кто то успел разместить файл «здесь был Навальный.txt». — вот хулиганы.
            +2
            До или после этой публикации на Хабрахабре?
              +5
              До.
                +8
                Значит Навальный там правда был.
                  –1
                  Не думаю.
          +25
          Предвижу неделю «Госзакупок» на хабре.
            +2
            Население Тендеров +35
            +2
            Доступ уже закрыт. На самих файлах внутри папки были атрибуты 644, так с существующими файлами вы бы ничего не сделали, максимум бы что закинули своих. Хотя можно было бы подсунуть xml в том формате что лежали внутри, интересно появилась бы она на сайте.
            • НЛО прилетело и опубликовало эту надпись здесь
                +2
                может что посерьезнее найдете?
                  +2
                  Кстати до сих пор работает анонимный доступ на данный фтп, можно пополнить базу организаций России, а так же спам базу для e-mail рассылок. К примеру там присутствует организация с названием «Тестовая организация 3».
                    –7
                    а где дыра-то?
                    • НЛО прилетело и опубликовало эту надпись здесь
                      +6
                      Надо ещё посмотреть, не лежат ли там директории .svn :)
                        0
                        А сейчас по этому адресу лежит только пустой каталог HabraHabr. :)
                          0
                          Забыл включить в ссылку пользователя и пароль. Правильная ссылка.
                            0
                            А. Ну значит, уже не один. Нашлись хабровчане :)
                              0
                              И вообще там в реалтайме интересное творится :)
                              +1
                              Уже нет. Там всё походу «лежит».
                                0
                                Там список каталогов, похоже, меняется каждые несколько секунд. Резвится народ.
                                +1
                                Ну и туда заливать интересные файлы. халявный ftp хостинг
                                0
                                Что, халява опять кончилась?
                                  0
                                  Что, халява опять кончилась?
                                    0
                                    Пардон, это Хабр залип на минуту.
                                    0
                                    Эх, опоздал, работа отвлекает
                                      +6
                                      В продолжение темы: 77.246.101.195/../ (анонимный вход!)

                                      Уж не знаю, что оттуда полезного можно выцепить. Папок, доступных на запись сходу не нашлось.
                                        0
                                        Антарктида Хабр быстро вылечит от безответственности! Ща народ быстро ещё проконсультирует Закупки насчёт безопасности :)
                                          0
                                          А мне кажется что это совсем не плохая идея, если б они действительно прислушивались к советам.
                                            0
                                            Ну, вроде бы прислушиваются. Уже нельзя ни залить файл, да и по фтп наполовину прикрыли доступ :)
                                          +1
                                          Ну что оттуда выцепить… Персональные данные…
                                          В соответствии с ФЗ о персональных данных таковыми являются имя-фамилия-отчество. А в любом из файлов в папочке /auto/organization/all/ их огромное количество.
                                          Надзорные органы! Ау!
                                          0
                                          Надеюсь, они не доберутся до сайта президента…
                                            +4
                                            а вы кто? админ этого сайта?
                                            +13
                                              +11
                                              Ой да их там куча
                                                –9
                                                Вы поломали их сайт! за вами выехали

                                                image
                                                +5
                                                Error 500: java.lang.NullPointerException
                                                Короче дальше даже смотреть не хочу. Хорошо зарабатывают чуваки =)
                                                  0
                                                  Портлет временно отключен.
                                                –2
                                                а почему не в зоне.рф? закупки.гов… дальше я бы не читал, и так всё ясно.
                                                  0
                                                  Лучше бы в зоне .no :)
                                                  –5
                                                  3аkуnku сн0ва в3л0малu… n0чему же uм таk не ве3ет?
                                                    0
                                                    ……
                                                    • НЛО прилетело и опубликовало эту надпись здесь
                                                    0
                                                    файлик .bash_history в корне ftp — доставляет
                                                      +5
                                                      zakupki.gov.ru/pgz/public/action/orders/info/common_info/show?notificationId=880145
                                                      Оказание телепатических услуг по обеспечению доступа к сети интернет 28 образовательных учреждений Шамильского района РД
                                                        +2
                                                        Ребята, нам просто чего то не договаривают… мы то все про оптоволокно… а там давно уже телепаты в дуплексном режиме работают)
                                                          +2
                                                          Это, видимо, отпускные.
                                                          +1
                                                          наверное, выглядит это так: goo.gl/rrU2F
                                                            0
                                                            вы не залили данное видео на сайт гос-закупок — так что незачёт)
                                                          +1
                                                          Это тот самый сайт, по поводу которого были распилены сотни миллионов нефти?
                                                            +4
                                                            Давайте вместе сделаем Тамбовскую область лучше! Хотя бы виртуально…
                                                              0
                                                              Только увидел данный пост, давно не заходил на великий Хабр, в начале января 2011 на tendery.ru мной была опубликована не до полу записка о наличии XSS в zakupki.gov.ru, прошло время ничего не изменилось ^_^ Зато милионы нефти все еще пилят…

                                                              Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                              Самое читаемое