"Киевстар" сливает в сеть сессии корпоративных клиентов и даже не заморачивается по этому поводу
Пишет Котэ под прикрытием: «Ёбаное Украино-Беларуско-росийское айти воистину ёбаное. И очередное подтверждение тому появилось, когда я через ссылку, свободно доступную в гугле, спокойно зашел в кабинет корпоративного клиента — и не просто зашел, а под именем управляющего всем аккаунтом (и она явно не единственная).
Я не злорадствую, и, как и говорил, в целом с пониманием отношусь к вайтишникам (все имеют право достойно пожить при должных усилиях), но когда вопросы аутентификаций отдают на откуп этим самым вайтишникам, не получившим еще должный опыт, вот тогда начинается печаль.
Еще более идиотской ситуация выглядела, когда я, как в общем-то законопослушный гражданин, сообщил об этом куда следует, а именно в службу поддержки Киевстар.
И что вы думаете?
Срать они хотели на вытекшие сессии своих клиентов в сеть!
Прислали стандартную отписку, что, мол, без полной идентификации обратившегося они даже рассматривать обращение не будут, и адьос, амиго.
Ну, ок, уровень айти услуг данной компании достоин Ёбаного. Время на исправление этого ёбаного стыда я им дал.
Переписка:
картинка не сохранилась в архиве
Т.е. меняй пароль, добавляй новых пользователей, ̶еби гусей пользуйся корпоративной связью…»
Комментарий ебаной редакции
Вот уж воистину квинтессенция ебаности отечественного айти. Сначала одни держат репозиторий с базой в открытом доступе, потом другие сливают десятки тысяч e-mail адресов в публичный доступ, заявляя в оправдание как ни в чем не бывало «Упс!», затем и Киевстар решает отличиться типично совковым игнором правомерной жалобы на раскрытие личных данных. И это при том, что (согласно инсайдерской инфе) клиенты Киевстара продолжают жаловаться ему на блокировку ресурса ebanoe.dev, и это они тоже игнорят. То есть время закрыть неугодный ресурс у них есть, а закрыть доступ всех желающих к акаунтам своих клиентов — нет. Если такое отношение к корпоративным клиентам, то простых смертных они поди вообще ни во что не ставят — так, смерды, что с них взять. Отличный подход, ничего не скажешь. Прогрессивно, молодежно, по-айтишному.
Прислал Котэ под прикрытием
Коментарі (111)
опа
Новая криптовалюта. Намайнил всем защекоинов. Проверяйте в своих кошертах
Сосиски за щекой нет. Только что проверил.
>Намайнил всем защекоинов.
Выехал обналичивать твои токены на минет. Почисти зубы и прополощи рот листерином!
Автор скобку не закрыл, дно.
Быстренько ковертнул их в аналтокены и скинул тебе в backend.
http://nv.ua/ukraine/events/haker-iz-chernovtsov-vzlomal-server-mobilnogo-operatora-i-popolnil-schet-na-million-griven-2003323.html
А как ссылка в открытом доступе появилась история умалчивает?
Видимо, что-то пошло не так и страницы с личным кабинетом не были закрыты noindex, nofollow и попали в индекс гугла. Такое часто бывает, когда SEO ставят ТЗ, а внедряющий правки проггер тупит и делает наоборот.
Ты еблан? Если там есть хотя бы базовая аутентификация или авторизация — то не сможешь ты открыть эту страницу даже если она не помечена твоими nofollow noindex! Хоть бери и ссылку мамке своей перешли — она тоже не сможет открыть, ее redirect’нит на какую нибудь loginpage.
Вообще пост — пиздежь. Автор покажи ссылку или петух
Ссылка my.kyivstar.net
Автор взял папкин или мамкин айпад , где забыли разлогиниться до этого. Вот и весь кейс
Ліл, так я же об этом и говорю.
Зы. Под ссылкой имел ввиду полную ссыль на вход в чужой кабинет
id сессии в параметрах URL. Но не понятно, как этот URL попал пауку google. Похоже, что авторизованный пользователь где-то засветил URL с id сессии.
Ну ты уже так жестко не гони, мамкин хакер. Посмотри для начала скрины, там в URL’e никакого id’щника сессии нет. Так что теория твоя — говно. Но ты молодец, старался.
Зы. Я уже давно не видел, что бы кто то так по рагульному идентификатор сессию хранил (в url)
Тут я вижу два варианта, либо показанная в скринах ссылка не та, по которой первоначально заходили (ссылка, которая позволяет использовать авторизованную сессию должно, на мой взгляд либо содержать аутентификационные данные, либо идентификатор сессии), либо история попахивает пиздежом. И в первом случае еще остается вопрос о том как эта ссылка попала к гугловскому пауку.
Фуфлыжно
Жду мнение разрабки с жырной сракой!
Хихи, моя попа шершавая как ананас
Баян, сучища. Ты уже заебала — изобрети новую фразу.
Вкрай зажрались, пидоры.
Раз пришлось со старого киевстароского номера набрать, бабос на счету был, а мне в ответ: «Слiд завчасно поповнювати свiй рахунок» и только потом пошел вызов. Я ахуел до безсознательности.
Харят, уебаны.
Времена, когда тарифы еще не были помесячной абонплатой? В то время не только Киевстар такой херней страдали, когда на счету оставалось где-то пару гривен или меньше (что хватало дозвониться абоненту).
А где статья про сектантов?
они с валеевым кокс жрут пидорасы, может через недельку отойдут
Киевстар в рот ебись, Водафон — вот что заебись!
Водафон для пидорасов, lifecell для мощных пацов!
Все провайдеры в Украине ебаное гавно, т.к. куплены бандюками.
лайфсел — на бутылку сел!
От МТС у всех энурез!
Ну так напиши скрипт и отключи интернет всем тем у кого кабинет смотрит в интернет. Ты ж программист. Только не с домашнего IP.
Нахуй что то писать если самому впадлу использовать bcrypt-ты passport-ты и прочую поебень. И вообще. Тру пацаны токен в не шефрованой куке хранят, а потом экранируют в div-е.
А нахуя ты им писал? Думал спасибо скажут и пару гривен накинут на счет? Пользовался бы копроративной связью и норм. А то накатал статью, как будто забомбило, что киевстар не оценил такого доброжелателя.
в античный период такой хуйни не было
Поточил гладиус и спать