среда, 4 февраля 2015 г.

Уязвимость на сайте по продаже билетов арены Ерофей.



Благодаря небольшой ошибке в системе, любой желающий может бесплатно получить любой чужой билет в арену "Ерофей".


28 января в Хабаровске заработал сайт по продаже билетов на матчи, которые проходят в ледовой арене Ерофей. Это игры чемпионата России, где выступает наш клуб СКА-Нефтяник, и игры XXXV чемпионата мира по хоккею с мячом.


Сайт красивый и, самое главное, удобный. Выбираешь игру, трибуну, место, оплачиваешь покупку пластиковой картой на сайте банка и получаешь электронный билет на электронную почту. А при желании в личном кабинете бланк можно скачать на компьютер.


Именно в этой процедуре и расположена уязвимость. Моё внимание привлекла ссылка на скачивание. Она содержала только номер заказа.


"А что если ввести другой номер заказа?", - подумал я. Ввёл другое число, нажал Enter и ... увидел окошко с запросом сохранения файла. И всё? И всё.

Внутри PDF-файла оказался чей-то электронный бланк. На нём был номер билета, название матча, дата, место и штрихкод, который необходим для прохода через турникет.


Незаполненными были лишь поля с ФИО, почтой и телефоном. MS Word, 2 минуты и у меня на руках уже распечатанный заполненный билет.


Штрихкод на билете действителен лишь единожды. Если по такому контрафактному билету я пройду, то хозяин билета через турникет уже не пройдёт.

Разработкой сайта занимается хабаровская компания "Web-Альтернатива". Внедрением системы продажи электронных билетов, согласно источникам в спорткомитете, занималась компания из Санкт-Петербурга.

Очень жаль, что поддержка сайта на сообщение по электронной почте за 2 дня никак не отреагировала. Вопрос пришлось решать напрямую с директором центра развития хоккея с мячом Семёном Экшенгером. В этот же день уязвимость была устранена.

Беспокоиться тем, кто билеты уже купил, не стоит - по информации спорткомитета скомпрометированные билеты (если вдруг такие были) будут переделаны, а пользователям придёт уведомление о необходимости заново скачать электронные документы.

Комментариев нет:

Отправить комментарий