問診12306之五：系統限于能用 安全漏洞級別高

        【搜狐 IT 消息】9月 29 日消息，鐵道部 12306 網暴露出的安全漏洞，引發業界強烈的反響。網絡安全專家張接受搜狐 IT 采訪表示，其漏洞已經到了最為嚴重的安全級別，如果不及時封堵，存在庫里面的個人信息，包括訂票信息，都“可能”被別人拿到。

        張百川稱，其編程過程不嚴謹、數據庫知識了解不夠，搭建系統的時候，僅限于“能用”，而沒有從多角度考慮。建議鐵道部必須“開放！放棄壟斷、放下架子，主動邀請像搜狐、新浪、阿里巴巴（淘寶）、騰訊、京東等的團隊，就目前的現狀進行探討，找出解決方法。”

        以下是搜狐 IT 書面采訪張百川全文實錄：

        搜狐 IT：鐵道部 12306 網站目前暴露出的漏洞的是怎樣的級別，危害程度有多大？

        張百川：看到是有 SQL 注入、XSS 跨站漏洞，這兩個一般在各類網站安全評估軟件中，評估級別都是高。因多數都能拿到部分數據，如拿到管理員的帳號、密碼（要是再知道后臺地址就可以登錄 了）、跑出訂票信息等。嚴重點說，存在庫里面的個人信息，包括訂票信息，都“可能”拿到。（之所以說可能，是因為目前沒有人公開說拿到數據庫，但這并不是 說沒有這個可能，畢竟法律風險太大，拿到也不會公開說）

        搜狐 IT：12306網站目前暴露出的漏洞遭遇攻擊的難易程度如何？

        張百川：就 SQL 注入和 XSS 跨站而言，利用的難度有高有低。最低的，利用工具 1 分鐘就可以跑出數據庫里面的數據，難度高的，可以綜合利用工具和人工進行攻擊。同樣是漏洞，可利用的難度差異很大。12306的漏洞，至少不是屬于“最弱 智”的那一類，要不早就被初中練手的小孩們拿下了。

        搜狐 IT：12306網站為什么會出現這樣漏洞？背后的原因是什么？技術水平如何？

        張百川：編程過程不嚴謹、數據庫知識了解不夠，搭建系統的時候，僅限于“能用”，而沒有從多角度考慮。

        如，目前微博爆出來的：SQL 注入漏洞、XSS 跨站漏洞，是自身安全意識的缺乏或者水平較低導致的。有人說是：畢業設計吧？！對此表示贊同。

        并且，從目前的一些安全圈朋友測試來看，本身存在安全隱患，并且也沒有采用第三方的安全防護手段。如部署入侵防御系統、WEB 應用防火墻，或者采用一些廠家目前在做的云安全手段等。

        個人認為，該系統驗收的時候，目標僅僅是“能用”，至于好不好用、安全不安全，似乎都沒有考慮在內。這樣的要求，在很多項目中，屬于比較低的水平。

        搜狐 IT：評價 12306 網站的整體安全水平如何？與此前 CSDN、阿里巴巴、天涯等遭遇攻擊比較，防御能力如何？

        張百川：低！上面提到了，本身做不好，又沒有采用第三方的安全防護手段，如可以直接提交 SQL 注入語句、直接提交 XSS 跨站語句，甚至不用考慮做代碼變形以繞過安全防護系統。

        看了下網上的消息，CSDN 被黑就是因為 SQL 注入漏洞；阿里巴巴、天涯的，網上沒有詳細的說明，不好判斷。嚴重與否，取決于數據庫是否被下載后又大量傳播……像上面的幾個網站數據庫，就都曾經在圈子里面流通過。

        搜狐 IT：如何評價 12306 網站，你給鐵科研有那些好的建議？

        張百川： 開放！放棄壟斷、放下架子，主動邀請像搜狐、新浪、阿里巴巴（淘寶）、騰訊、京東等的團隊，就目前的現狀進行探討，找出解決方法。上面的這些網站，對大規模、大并發的網站運營有非常好的經驗。

        個人認為，因為火車票是歸當地鐵路局管的，因此可以做分布式，將數據庫剝離開，放在每個鐵路局的機房，這樣可以分擔壓力，變同時訪問 1 個網站為多個網站。并且多數用戶都是就近訪問服務器，速度快、壓力小。

        張百川，“游俠安全網”（www.youxia.org）站長、MCP/MCSE/MCDBA、Linux 網絡管理工程師。對主機審計、網絡審計、數據庫審計、運維審計等有深刻認識和研究，對信息與網絡安全方案的規劃、設計、實施有豐富的實戰經驗。以“網路游 俠”為名在多家專業網絡安全、信息安全媒體發表作品 30 余篇。