前言
事發至今，已經過很多天了
我也不確定兩方是否都有修正問題(統聯與銀行方面)
(不過就新聞內容看來的確是銀行方面有問題)
在前一篇文章中有提到 如何破解鎖右鍵的網站, 利用開發人員工具(開發者模式)!
我們除了可以依上篇文章拿到圖片網址之外，
也可以利用開發者模式, 修改網頁上的數值(金額)
當然, 並不是要教大家怎麼做個 駭客什麼的…
只是簡單說明資訊安全
很基本、簡單的動作!
測試
就直接拿事主來做個測試(希望統聯不要告我…)
ps:我最後有取消訂票, 也沒有送出到銀行端
單純讓大家知道 開發者模式的功能和資安問題
步驟直接走到, 在確認座位與票價時…
打開 , 開發者模式之後
使用 elements(元件)頁籤, command + f 或 ctrl + f 使用搜尋功能
多搜尋幾個項目就能看見下圖的畫面…
(我們的目標是100 元的票價金額)
直接點擊 100, 輸入任何數字…
<input type=”hidden” name=”BookingDataPrice_1″ id=”BookingDataPrice_1″ value=”100″>
上面這行html碼, 表示一個隱藏輸入框, 裡面的 value=”100″ 即為準備被傳輸的票價金額
送出之後, 可以看見修改過的金額在畫面上
接者進到線上刷卡頁面
在這邊, 可以看見金額已經正常了
不曉得是不是銀行端已經修復了呢?
當然也可以在這邊, 再做一次上述的動作….
(我的目的不是 hack 所以我們做到這就好了 :p)
結論&資安
其實這本身不是什麼很厲害的技術
雖然還是有點門檻(看懂 HTML)
但是網站本身還是需要最初步的防護
在軟體開發上,
後端程式不能完全相信前端使用者所需輸入的資料
垃圾進, 垃圾出
garbage in garbage out，GIGO
輸入錯的資料, 當然就拿到錯的結果
資安上
前端使用填了”1 元”, 後端就直接使用”1元”這樣是不行的
至少要檢查一下 “最低票價”
而且也不該讓金額數值在前端可以被(輕易)自由修改
這些問題嚴重嗎?
非常嚴重!!
你的個人資料, 可以輕易被修改
你可以便宜買到票, 再二手賣出
你的信用卡資料, 可以被盜取
小問題會引發大災難!
更早先前的新聞
購物網站藏漏洞？ ibon票券1元就可帶走
類似這樣的問題層出不窮
在開發網站的時候, 更應該多一點心力去注意
當然
在上面的測試看來, 兩方應該都修正問題了!
開發者模式, 原來也不是用來做這樣的事…
本來的目地是用來測試、修改即時畫面的
下圖是利用開發者模式, 修改 Yahoo 背景色
在 Elements 頁籤中找到 <body> Tag 之後
在左邊的 Styles 區塊加入一行(css)
background:background:-webkit-linear-gradient(top,#0099aa,#0099FF);
可以看見畫面上的 Yahoo 背景馬上變成漸層藍
這樣的修改動作
都不會被儲存下來
重新整理之後就會回覆為原來樣子
媒體就是各種造神吹捧，不過就只是改個html碼就是天才駭客。
這位張先生，可能連coding都不會吧，或許連Linux也都沒用過。
再者說不定對網路和資安領域的知識都….
炒知名度的成份居多吧。
我想張先生應該不到不懂啦
最少有略懂 XD
不過媒體吹捧是真的…
只希望大眾能更重視專業和資安的重要性
架網站很容易，只可惜在這網路交易發達的時代，大多數的網站或者開發人員很明顯程度上仍然有很大落差…
已經到人手一機的時代了
大多數人對資安都沒提升 🙁