开发人员在检查“支票”后发现数据 - 从3月开始,它可以通过互联网服务进行所有购买。
联邦税务服务(FTS)的一些服务的源代码一直在公开访问,并在可能的泄漏威胁下进行的用户数据。这一结论来自用户“Habra”安东帕斯克诺夫。
开发人员提请注意检查“检查”应用程序。它允许您以电子形式获取和存储现金支票,检查卖方的勤参,向FTS发送投诉等,向FTS报告。
使用该应用程序,用户可以在电子检查上扫描QR码,在完成任何服务或商店的订单后发送财政数据语句(OFD)。例如,在Yandex.ied中排序后,Piskunov来自Yandex OIS的支票。
![在公共访问公众访问若干税务服务的源代码中的用户“habra” - 它是开放的大约一年 10115_1](/userfiles/22/10115_1.webp)
扫描后,附录中显示了有关订单的完整数据的检查的电子副本。在3月4日,2021年,开发人员通过添加“从”在线“功能”函数的“检查”来更新“检查”检查“。
如果在检查“检查检查”应用程序中进行身份验证,请指定与“Yandex.edi”,“出租车”,“滑板车”等服务附加的电话号码,在“我的支票”部分中将自动显示所有检查对于这些服务中的所有操作。
![在公共访问公众访问若干税务服务的源代码中的用户“habra” - 它是开放的大约一年 10115_2](/userfiles/22/10115_2.webp)
PIKSUNOV决定检查所有这些数据如何妥善保护。为此,他介绍了互联网之间的差距和应用了一个简单的代理,并记录了应用程序的网络活动,“隆起”。“
“事实证明,带有数据的端点位于地址ickt-mobile.nalog.ru:8888,它使用快速框架在NodeJS上生存最简单的应用程序。用户身份验证机制允许您数据正确指示“SessionID”标题,其中的值是服务器端生成的某些自我缺陷令牌,“添加PIKSUNOV。
如果在检查“检查”应用程序中的“退出”按钮,则不会发生令牌残疾,继续。此外,用户无法查看所有会话或在所有设备上完成它们。 “因此,即使你以某种方式了解访问令牌受到损害,那么没有可能重置它,从而保证从这一刻缺乏预期的攻击者对您的数据访问,”开发人员写道。
他还注意到,在应用程序的KRASH的情况下,它将派遣中的诊断数据发送在不相关的地址,也不是FTS,也不是俄罗斯的FSUE GNIIVC FTS(开发人员“检查”检查“ - VC .ru),以及sentry domain .studiotg.ru。
之后,他发现了对Google索引的Giitlab上的Studiotg公共存储库的引用,根据开发人员,超过一年。在存储库中,他发现包含调整“Lkio”,“Lkip”,“Lkul”的文件夹。它们属于域Nalog.ru - lkio.nalog.ru,lkip.nalog.ru和lkul.nalog.ru上的FTS的同名服务。
“对于调节,检测到的来源与FTS服务有关,简单地检查战斗Web服务器上的UPPod-stylees.txt文件的存在,这可能不会出于意外巧合,”PIKSUNOV写道。
他得出结论,检查“检查”的实际开发商 - Studiotg。从事IT咨询和软件开发的“Studio TG”网站是FTS的“纳税人的个人帐户”。
PIKSUNOV还认为该公司的故障,税务服务代码的源代码是公共访问。 VC.RU编辑部发送了一个请求并预计FTS和Studio TG的评论。
#新闻#FTS
来源