javno objavljivanje adrese webapp za proveru ispravnosti karte u javnom prevozu

[milos_rs]

Primetio sam u članak u novinama danas u članku adresa putem koje će "Beli" da proveravaju ispravnost karata u javnom prevozu...

   

Dotični sajt je otvoreno dostupan na javnom internetu...

   

kompletan članak https://www.danas.rs/vesti/beograd/kako-...a-u-gsp-u/

diskutovano na twitteru ovde https://twitter.com/milos_rs_/status/166...4684930049 sa nekim tačkama potencijalnih opasnosti:

Nismo morali da znamo URL login stranice. Mogući problemi: Nema 2FA, kucanje šifre ispred gomile ljudi, zapamti me opcija, čuvanje passworda u privatnom ili rutovanom telefonu, bruteforce kredencijala, pravljenje lažnog wifi u busu i iste ovakve phishing stranice, itd...

Ovo kao prvo ne treba da bude na javnom internetu, garant ima nešto zanimljivo za maliciozne ljude, na primer baza svih telefonskih brojeva koji su uplatili karte

Sajt je hostovan valjda na Comtrade cloud-u ali u Sloveniji...

   

na istoj IP adresu su i drugi sajtovi :

Code:

www.comtradegroup.com, ass.org.rs, bielertrade.com, black-shark.gr, black-shark.hu, blackshark.ba, blackshark.bg, blackshark.hr, blackshark.me, blackshark.mk, blackshark.ro, blackshark.rs, blackshark.si, can.rs, comtrade.ai, comtrade.edu.rs, comtrade.international, comtrade.si, comtrade360.com, comtradecloud.com, comtradedistribution.com, comtradegroup.com, comtradeintegration.com, edit.world, eklinikasolutions.com, events.comtrade.si, fabrikaznanja.com, jevrosimovic.com, karte.site, medtrum.rs, meetings.saf.org.rs, saf.org.rs, sas.org.rs, sas.rs, solarna.ba, spinnaker-nt.si, spinnaker.si, teslaedu.info, teslagiveaways.com, teslapoklanja.com, www.ass.org.rs, www.bielertrade.com, www.black-shark.gr, www.black-shark.hu, www.blackshark.ba, www.blackshark.bg, www.blackshark.hr, www.blackshark.me, www.blackshark.mk, www.blackshark.ro, www.blackshark.rs, www.blackshark.si, www.comtrade.ai, www.comtrade.edu.rs, www.comtrade.international, www.comtrade.si, www.comtradecloud.com, www.edit.world, www.eklinikasolutions.com, www.fabrikaznanja.com, www.jevrosimovic.com, www.medtrum.rs, www.saf.org.rs, www.sas.org.rs, www.sas.rs, www.solarna.ba, www.spinnaker-nt.si, www.spinnaker.si, www.teslaedu.info, www.teslagiveaways.com, www.teslapoklanja.com

server se identifikuje kao BigIP, može biti da je WAF (https://www.f5.com/products/big-ip-servi...vanced-waf), možda svi ovi sajtovi nisu na istom serveru iza WAF-a, barem se nadam da je tako jer ako su na istom server kompromitovanje jednog sajta može značiti kompromitovanje svih sajtova, uključujući i ovaj za proveravanje ispravnosti karata. Pritom znamo da je ceo ovaj sistem i ideja za njega sklepana na brzinu usled nesposobne gradske vlasti, i ostatak priče sam sebe piše...