[quote=enix (Enix)][quote=lucky1212306 (膨肚※短命)][url="http://www.mobile01.com/topicdetail.php?f=397&t=3722701#48105812"]http://www.mobile01.com/topicdetail.php?f=397&t=3722701#48105812[/url] 大概前一陣子亂扯被駭客入侵，現在網站漏洞被抓到，linux的passwd檔被po出來 現在應該停機中了… [url="http://pastebin.com/mGk2bpXx"]http://pastebin.com/mGk2bpXx[/url] ==================================== 2014-01-07 14:33 #5 發生了底下這件事 [url="http://www.leakedin.com/2014/01/06/potential-leak-of-data-directory-transversal-156/"]http://www.leakedin.com/2014/01/06/potential-leak-of-data-directory-transversal-156/[/url] 被Leakedin找到遠通在Apache設定上的漏洞，使用者可以透過httpd訪問到Linux主機上的目錄 一般我架站會把httpd服務限制在/var/www/資料夾下讓看網頁的人沒有機會存取到根目錄之下的檔案 這次因為遠通主機設定的漏洞，導致Linux根目錄下的資料夾被存取 /etc/passwd紀錄了使用者的名稱群組跟擁有的權限等...而shadow檔則是加密後的密碼(你可以稱他為密碼表) 只要passwd搭shadow，用程式下去跑就可以解出使用者的密碼，然後取得root權限後，這台Linux就隨便你上下其手了。 如果ETAG用戶的資料存在同一台主機上，那就真的什麼都去了... 你留在遠通的姓名、電話、身份證字號以及車牌號碼全部一個不剩的流出去囉 [url="http://images.plurk.com/2bWPIqBUJehGHGqBxb9NeL.jpg"]節圖存黨[/url] ============================================ 真假 ?! [驚訝][驚訝][/quote] 理論上~ 在系統架構設計有用心的話， 個資不會跟交易資料放在一起的， 即便放在一起，也會對重要資料做加密...[無辜][/quote] 阿彌陀佛 希望如此 不然 聽說監理處資料室提供給遠通低 不管有沒有辦ETAG... 天佑台灣有買車的人 [嘆氣] PS.還看到網友PO遠通有權利入侵上遠通ETAG網頁查詢車主使用的個人電腦, 以便後續追蹤(?)資料分析之類的, 不知有誰知道這件事啊?

[quote=enix (Enix)][quote=lucky1212306 (膨肚※短命)][url="http://www.mobile01.com/topicdetail.php?f=397&t=3722701#48105812"]http://www.mobile01.com/topicdetail.php?f=397&t=3722701#48105812[/url] 大概前一陣子亂扯被駭客入侵，現在網站漏洞被抓到，linux的passwd檔被po出來 現在應該停機中了… [url="http://pastebin.com/mGk2bpXx"]http://pastebin.com/mGk2bpXx[/url] ==================================== 2014-01-07 14:33 #5 發生了底下這件事 [url="http://www.leakedin.com/2014/01/06/potential-leak-of-data-directory-transversal-156/"]http://www.leakedin.com/2014/01/06/potential-leak-of-data-directory-transversal-156/[/url] 被Leakedin找到遠通在Apache設定上的漏洞，使用者可以透過httpd訪問到Linux主機上的目錄 一般我架站會把httpd服務限制在/var/www/資料夾下讓看網頁的人沒有機會存取到根目錄之下的檔案 這次因為遠通主機設定的漏洞，導致Linux根目錄下的資料夾被存取 /etc/passwd紀錄了使用者的名稱群組跟擁有的權限等...而shadow檔則是加密後的密碼(你可以稱他為密碼表) 只要passwd搭shadow，用程式下去跑就可以解出使用者的密碼，然後取得root權限後，這台Linux就隨便你上下其手了。 如果ETAG用戶的資料存在同一台主機上，那就真的什麼都去了... 你留在遠通的姓名、電話、身份證字號以及車牌號碼全部一個不剩的流出去囉 [url="http://images.plurk.com/2bWPIqBUJehGHGqBxb9NeL.jpg"]節圖存黨[/url] ============================================ 真假 ?! [驚訝][驚訝][/quote] 理論上~ 在系統架構設計有用心的話， 個資不會跟交易資料放在一起的， 即便放在一起，也會對重要資料做加密...[無辜][/quote] 阿彌陀佛 希望如此 不然 聽說監理處資料室提供給遠通低 不管有沒有辦ETAG... 天佑台灣有買車的人 [嘆氣]