- 2月 02 週四 201211:26
在行政院青輔會青年旅遊網存的個人資料安全嗎?
故事是這樣開始的:在每天都會開的電子信箱裡出現了一封標題是「青年旅遊網會員認證信」,『自稱』來自青輔會青年旅遊網的信。我的確有申請過青年旅遊卡,不過沒印象申請了會員。由於這年頭太多釣魚信件了,首先 whois 了一下發信網站 youthhub.tw 和青年旅遊網 youthtravel.tw 的,看起來好像沒什麼問題。既然是新開張的會員功能,使用信件中提供的帳號密碼登入也是很合邏輯的。
登入完第一件事自然是改密碼,畢竟系統給的密碼記不起來。所以把看起來是必填欄位的部份填一填,然後換了一組密碼。
喔喔,原來只能用英文字母和數字當密碼,所以再換一組。
怎麼又出現了…該不會只能用「小寫英文字母」和數字當密碼吧,再換一組符合的試一次。
更新密碼成功,咦,上頭那串指令有點眼熟耶,不就是剛剛輸入的資料嗎 XD (當然為了擷圖把自己的個資隱藏/修改了一下,不過問題是在的)
真是太棒了,密碼存明碼也就算了,反正到處都有存明碼的網站,但是一個會儲存身份證字號的政府網站在更新資料時順便把 SQL 噴出來給你看,要怎麼放心存個人資料上來,你說說看你說說看啊~
Tags: 行政院, 青輔會, 青年旅遊網, 密碼, 明碼, youthtravel
不愧是蟲王!
我不想踩到這種蟲啊,自己的資料什麼時候會被備份走都不知道 囧>
不意外啊 以前還看到天龍國邊陲城鎮市公所的網頁, a href 裡面就塞 urlencode 過的 SQL 指令 XD77
但至少不會把 SQL 指令大方顯示在網頁(還不用檢視原始碼喔)吧 XD
這個實在是太有才了...:P
你說說看你說說看啊~
如果把 描述顯示在這裡改成 '; delete from `member`; update `member` set m_desc = ' 應該會很有趣
可惜不能改成這樣喔 ( ̄▽ ̄#)﹏﹏