Od 2019 roku Rosjanie wykorzystując przestarzałość kodu, na wszystkie lokalne strony SANEPIDu wrzucają reklamy na potencję, nietrzymanie moczu itp. Czy specjaliści od szukania dziury w całym będą w stanie załatać to zanim przestępcy zaczną używać je na szerszą skalę? Zobaczmy. Prośba o WYKOPEFEKT!

Wszystkie strony polskich SANEPIDów są shackowane... od 2019 roku!

Z ciekawości przeszukać chciałem z pomocą Google lokalny, świdnicki sanepid ( https://psseswidnica.pis.gov.pl ) pod kątem jakichś ukrytych informacji o szczepieniach na koronę na rejonie. 

Zauważyłem z miejsca, że chyba nastąpiło włamanie, bo znajduje się tam reklama jakichś rosyjskich sposobów na "zajście w ciążę, gdy magia zawodzi" - Link do podstrony

Screenshot dla potomnych:

Nie dało mi to spokoju, że jak to tak, więc postanowiłem sprawdzić wszystkie SANEPidy w Polsce, ustawiając sam język rosyjski i uogólniając wyszukanie do domeny pis.gov.pl (swoją drogą wspaniała koincydencja xD). Link do wyszukania -> //www.google.com/search?q=site%3Ahttps%3A%2F%2Fpis.gov.pl&lr=lang_ru&tbs=lr%3Alang_1ru&start=10

Patrzę ja, a tutaj:

Środki do leczenia osteochondrozy, Tornado na potencję, Preparaty na zapalenie pęcherza moczowego i takie różne specyfiki o tej samej tematyce co reklamy na TVP. A to wszystko umieszczone na wszystkich stronach SANEPidów w całej Polsce. Sprawdzałem po kolei różne i nie znalazłem takiej, która nie posiadałaby wrzuconych tych reklam na tym samym schemacie.
 
Niektóre SANEPidy wspięły się jedynie na wyżyny i założyły nowe strony. Wiele z miast wojewódzkich przeniesiona została na rządowe gov.pl. I chwała im za to, ale dalej mamy wszystkie powiatowe miasta z reklamami środków na impotencję na oficjalnej domenie rządowej, która rzekomo „Utrudnia oszustom podszywanie się pod instytucje władzy, gdyż fałszywe strony nie zawierają w swym adresie tejże domeny.”

 Większość po kilkunastu sekundach przekierowuje dalej na już profesjonalnie przygotowane strony do wciskania kitu, ale już w wersji po Polsku (ale jest w wielu  wersjach językowych, wystarczy w adresie zmieniać /?v=16 na inne cyfry), prawdopodobnie jakieś wyjebki.

Zaciekawiło mnie, kiedy to wszystko się zaczęło. Google wypluło mi najstarszy wynik z marca 2019 (który dalej działa oczywiście):

Teraz z kolei zainteresowało mnie dlaczego się tak stało. Nie znam się na podatnościach stron, bardziej sprawa dla Z3S albo Niebezpiecznika, ale z pewnością główną przyczyną włamań jest brak aktualizacji. Sprawdziłem kilka stron i wszędzie stopka była z datą 2008 (na niektórych po prostu ukryta), czyli chyba wtedy, kiedy uznano, że kod strony jest już idealny i nie wymaga poprawek.

Zajrzałem jeszcze w kod strony głównej losowego sanepidu, widać, że jakiś autorski "CMS" do tego napisano. Aż tu nagle zacząłem mieć flashbacki z dzieciństwa. Kurcze, skądś znam taką strukturę strony, te klasy i przestarzała nieresponsywna struktura, hmm... 

Jadę więc w dół i nagle wszystko jasne. Po zobaczeniu tego kodu już wiedziałem skąd te nagłe haluny. Design strony został stworzony w Microsoft Word, co było modne w latach 2004-2008, sam robiłem takie dla mojego klanu w CS'a. Niektóre Sanepidy ukryły ten fakt, niektóre nie. W każdym razie śmiech.

Podsumowanie

Domyślam się, że zarówno php strony, jak i zabezpieczenia serwera + bazy danych są na podobnym poziomie, więc nie dziwota, że ktoś znalazł podatność i na tym jedzie. Szkoda tylko, że przez tyle lat nikt nie zauważył tego faktu. Wrzucone tam strony to de facto samo SEO bardziej niż jakieś strony pułapki, więc można powiedzieć, że zagrożenie małe.

No, ale teraz, gdy w dobie pandemii o aktywnej działalności Sanepidu wie cała Polska, czy istnieje możliwość wykorzystania tej samej podatności do robienia masowej rzeźni na Polakach? Ciągle słyszy się o wyjebkach z użyciem bramek, jakichś "dopłatach do kuriera" i tysiącu innych kreatywnych pomysłach złodziei. Mogą oni to wykorzystać tak naprawdę na 1000x różnych sposobów, używając domen lokalnych Sanepidów do legitymizacji jakichś chociażby zapisów na szczepionki z pierwszeństwem, ale za drobną opłatą. Albo np. w podobnym schemacie jak tu:
Uwaga na dużą kampanię malware pod hasłem Allegro Kredyty - Z3S

Albo tu:
Uwaga na okazyjne zakupy prowadzące do wyczyszczenia konta - Z3S

Publikuję licząc na wykop efekt, aby załatali tę dziurę najwięksi spece od szukania obecnie haków na obywateli, gdy na szyi mają pętelkę ( ͡° ͜ʖ ͡°)

PS. To nie jedyna instytucja, która posiada tę podatność na wrzucanie plików XML, podobnie jest chociażby, z tych ciekawszych, z Sądem Rejonowym w Warszawie Praga-Południe - //www.warszawa-pragapoludnie.sr.gov.pl/userfiles/file/ant/sitemap-ant-l1vxv.xml

czy Okręgową Radą Adwokacką w Kielcach:
//www.ora.kielce.pl/userfiles/file/Ultradji/sitemap-Ultradji-123iz.xml

[rencznik]

@ethc Chciałeś, abym zawołał, więc wołam ( ͡° ͜ʖ ͡°)

[ethc]

@rencznik: spoko wykopalem jako pierwszy

[rencznik]

@ethc: Zmieniłem miniaturkę, a tu znowu Zenek... Taka fajna była.

[ethc]

Zmieniłem miniaturkę, a tu znowu Zenek...

@rencznik: jak do tego doszlo?

[Jariii]

Też mi odkrycie strony szkół czy urzędów w Polsce od dawna wyglądają jakby były robione na zaliczenie informatyki pod koniec XX w.

[rencznik]

@Jariii: Tak, ale na stronach gov.pl to nawet nie, że nie wypada.

[dbcoop]

@Jariii: Bo strony szkół właśnie są tak robione często xD

[ostatni_lantianin]

@Jariii: @dbcoop:
powiem więcej pewnie niejedna strona pamięta lata 90., np. w moim liceum jakiś świeżak-nauczyciel postawił (zanim go nie zepsuli) stronę to chyba do 2018 wisiała - problem w tym że pisana w czasach jak typowa rozdzielczosć monitora to było max 1200x800 więc wiecie jak to wyglądało na nowszym sprzęcie

[ethc]

kpina, ze cokolwiek takiego wisi na domenach rzadowych gov.pl ale to chyba doskonale odzwierciedla nasz rzad (gov)

ale spoookojnie jeden z narodowych czempionow - suski sie tym zajmie ( ͡° ͜ʖ ͡°)

[KKK1337]

@ethc: i wyobraź sobie że to za pieniądze z podatków, a przetargi pewnie synek znajomego wygrał xd

[IvanBarazniew]

ale spoookojnie jeden z narodowych czempionow - suski sie tym zajmie ( ͡° ͜ʖ ͡°)

@ethc: No już się przecież przygotowują - Orlen kupił Polska press od przyszłego roku strony rządowe będą wydawane w wersji papierowej, do kupienia w najbliższym kiosku ruchu.

Prezes nie umie w internety a hakiery hakujo - najlepiej to wyłączyć w cholerę.

[foiss]

@KKK1337: ten co robił strony na zaliczenie z informatyki

( ͡° ͜ʖ ͡°)

[rencznik]

@ZaufanaTrzeciaStrona i @niebezpiecznik-pl zapraszam.

[borewicz_zero_7]

@rencznik: ja bym jeszcze zaprosił @tvn24news albo @polsatnews_pl :D

[rencznik]

Nie ma też prawdziwej imprezy bez @Gazetapl_news @RadioZET @Bezprawnik @MoneyPL @naszemiasto_pl @polskieradio @WirtualnaPolska @Onetpl @wyborczabiz @Bankierpl

[repostuje]

@rencznik: @borewicz_zero_7: nie no zaprośmy @tvp_info i @regiony. Da ktoś znać Albicli?

[Cukrzyk2000]

Ktoś w 2008: Eeeee, zostawmy tak, będzie git ( ͡° ͜ʖ ͡°)
2021: o boże, o ku*wa ( ͡° ʖ̯ ͡°)

[rencznik]

Zachęcam oczywiście do informowania waszych lokalnych Sanepidów o tym fakcie. Zdaje się, że ostatnio mają za dużo czasu, więc może zajmą się swoimi stronami. ( ͡° ͜ʖ ͡°)ﾉ⌐■-■

[rencznik]

Adresy e-mail wszystkich Sanepidów w Polsce:

[e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail],

[rencznik]

[e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail],

[rencznik]

[e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail], [e-mail]

[a-lexis]

problem potencji juz dawno rozwiązany idziesz do apteki 20 zł i po temacie czyba ze masz nadciśnienie i inne obciążenia no to wtedy gorzej. Ten drugi problem jednak medycyna nie rozwiązała ¯\_(ツ)_/¯

[Chehu]

Ten drugi problem jednak medycyna nie rozwiązała ¯_(ツ)_/¯

@a-lexis: podobno pomaga ćwiczenie mięśni dna miednicy. Nie żebym coś wiedział w tym temacie, na ulicy tak słyszałem ( ͡° ͜ʖ ͡°)

[a-lexis]

@Chehu: odwrotnie to przyspiesza bo masz skurcz ;-) to najwiekszy i najgorszy mit.¯\_(ツ)_/¯ Jedynie co daje taki trening to bardziej wytrzymały pecherz

[Chehu]

@a-lexis: jesteś fizjoterapeutą/urologiem?

[eternalmarcos]

Żadni Rosjanie. Zwykłe boty szukające dziur. Codziennie ofiarą takich padają tysiące polskich stron. Żaden rusek pewnie nie zauważył, że coś w domenie gov.pl poszło xD

[rencznik]

@eternalmarcos: Dobra, przyznaję, że miękki clickbait. W każdym razie bot stworzony raczej przez Rosjan, a i dobrze, że nie zauważyli, ale jak ja zauważyłem przypadkiem i jakaś inna osoba tutaj również, to rodzi spory potencjał na wykorzystanie tego w niezbyt dobry sposób.

[schreder]

@eternalmarcos: A to może dlatego czasem różne strony jak np. strona parafii mi wywala komunikat, że wygrałem iphone. Myślałem, że mam wirusa choć uważam co pobieram + ESET czuwa, ale to widać te boty. Tylko czy to tak działa, że raz mi wyskoczy ten scam z iphone, a jak cofnę i wejdę jeszcze raz to już się normalnie odpala strona?

[rencznik]

@schreder: Specjalnie tak jest zrobione bazując na cookies, aby właściciel myślał, że wszystko jest git.

[w.....f]

shackowane

[dipalmitoilofosfatydylocholina]

@wewerwe-sdfsdfsdf: No co? Fonetycznie to jakoś „szakowane?

[elgrecqo]

Dawać tych programistów od Alkibli. Będą mogli poćwiczyć

[HellsAmbassador]

@certpl może Waszymi kanałami dotrzecie do kogoś szybciej.

[certpl]

@HellsAmbassador: Osoby odpowiedzialne zostały poinformowane już jakiś czas temu.

[Nick_i_login]

@certpl: To fajnie, widać że się przejęli i reakcja była szybka i zdecydowana.( ͡° ͜ʖ ͡°)

[certpl]

@Nick_i_login: ¯\_(ツ)_/¯

[p.....o]

I że niby jak wykopiemy to urzędasy się do roboty wezmą...? Dobre...

[rencznik]

@pocowamto: Znaczy, ja mam nadzieję, że każdy z nas poinformuje o tym fakcie lokalny Sanepid ( ͡° ͜ʖ ͡°)

[ethc]

@pocowamto: oni w pocie czola walcza z prawdziwymi wirusami piszac decyzje o karach dla ludzi i zamknieciach lokali, wirusy komputerowe im niestraszne, tyle lat juz wisza i nikomu nie przeszkadzaly do tej pory

[p.....o]

@rencznik: @ethc: jak to mówią.. : ale to już dawno było..

[czupek]

Zastanawia mnie to. Siedzi taka Grażyna z Teresą w jakimś powiatowym pis-ie, kawusia, ploteczki, być może fejbuczek i żadna niekliknęła w stronę swojego publicznego zakładu pracy i nie zobaczyła czegoś takiego? Żadna nie dodawała nowych informacji, danych na tą stronę, w dobie pandemii i #!$%@? na łączach telefonicznych ? Nikt? Przez 2 bite lata?

[czupek]

@alexandra28: To mnie oświeć. Sanepid to nie jest publiczna instytucja ?

[nalot_1]

@czupek jak wyżej napisałeś kawa i pączek to cała ich praca (╯°□°）╯︵ ┻━┻

[Stivo75]

Zawsze bawi takie podejście
"Ło Panie, u Pana strona kosztuje 8 tysięcy a mi syn wgra darmowego łarpressa czy jak to tam się mówi. Za drogo Panie, syn założy w dwa dni, dziękuję . "

I tak już jednemu klientowi syn zakłada stronę od listopada tamtego roku.. ( ͡° ͜ʖ ͡°)

[login-jest-zajety]

@Stivo75: uwielbiam to

[kuplende]

@Stivo75: ja robie ojcu od 10 lat;) ale to inny temat( lepiej żeby nie miał), tak mi się tylko przypomniało.

[DiscoKhan]

@rencznik Tak na przyszłość to pisze się zhakować. Przed samym "h" jest przedrostek z- przed "ch" będzie s-.

Np. zhardzieć czy schłodzić. Nie ból dupię tylko trochę dziwnie mi ten wyraz wyglądał i sam musiałem sprawdzać ;)

[Smoker420]

@DiscoKhan: Hackować nic się nie bać

[rencznik]

@DiscoKhan: Dzięki, faktycznie dowaliłem, a też jestem aktywnym #grammarnazi ( ͡° ͜ʖ ͡°)

[kuplende]

@DiscoKhan: nigdy na to nie zwracałem uwagi, dzięki plusik ode mnie. Ale i tak jestem noga z ortografii.

[wigr]

@trumnaiurna: Na RCB (Rządowe Centrum Bezpieczeństwa) problem polega na czymś innym. Strony z wynikami wyszukiwania indeksują się w Google, co jakiś bot wykorzystuje do SEO, nie jest to włamaniem na serwer, ale podatnością już tak. Na pewno w RCB i w ogóle na stronach .gov nie powinno to mieć miejsca.

[trumnaiurna]

@wigr:
https://www.wykop.pl/link/5941307/comment/87842121/#comment-87842121
Dodatkowo pomijając kwestie związane ze spamem w Google, zła konfiguracja SEO (brak blokoday indeksacji) może prowadzić do ataków socjotechnicznych, np.: https://rcb.gov.pl/?s=W%20razie%20pyta%C5%84%20b%C4%85d%C5%BA%20w%C4%85tpliwo%C5%9Bci%20odno%C5%9Bnie%20uzyskania%20wizy%20do%20USA,%20prosimy%20o%20kontakt%20mailowy%20z%20Ambasad%C4%85%20USA%20w%20Polsce%20pod%20adresem%20e-mail:[e-mail]%20b%C4%85d%C5%BA%20telefonicznie:%20%20%F0%9F%93%9E%20666%20666%20666.

Przypominam, że udzie wysyłają pieniądze na leczenie Clinta Eastwooda ;-)

[trumnaiurna]

@alexandra28:
To jest straszne i nie powinno być indeksowane - SZCZEGÓLNIE NA STRONACH RZĄDOWYCH. Z Twojego punktu widzenia, gdybyś miał stronę firmową, to nie przeszkadzałoby Ci, gdyby przy zapytaniu "nazwa twojej firmy" obok strony głównej wyskakiwały podstrony z viagrą zaindeksowane na Twojej stronie firmowej? ( ͡° ͜ʖ ͡° )つ──☆*:・ﾟ

[Zendemion]

Całkiem ironiczne że to wychodzi tuż po TWARDEJ REAKCJI na akcję zapytajsanepid ( ͡° ͜ʖ ͡°)

[rencznik]

@Zendemion: Wyczekane :D Trzy tygodnie temu poinformowałem o tym najpierw prywatnie, ale zero reakcji, no to...

[rencznik]

Starałem się znaleźć podatność, która tu występuje i jedyne co udało mi się wynaleźć to, ale nie wiem, bo się nie znam:
https://forum.hackthebox.eu/discussion/116/python-coldfusion-8-0-1-arbitrary-file-upload

[dzikaswinia1]

@rencznik: Wygląda, że może być to. Wszystkie "linki" to pliki .xml więc pewno znalazłeś czego szukałeś ;)

[rencznik]

@dzikaswinia1: A ja szukałem akurat po prostu podatność i ścieżkę "/userfiles/file/", bo występuje ona wszędzie gdzie te ruskie działają.

[henk]

@rencznik: w skrócie - jak pozwalasz wrzucić XMLa na serwer,to masz pozamiatane: https://sekurak.pl/pozwalasz-ladowac-pliki-svg-masz-xss-a/

(SVG to też XML)

[combatcode]

Kiedyś za gówniaka zgłosiłem do urzędu statystycznego w Poznaniu podatność na XSS. Olali mnie i naprawili dopiero po pół roku bez słowa dziękuję lub spadaj

[Stivo75]

@combatcode: Teraz zgłaszaj że podatność znalazłeś i czekasz na aktywację konta na forum w darknecie aby się podzielić nowiną ( ͡° ͜ʖ ͡°) Podaj swój numer, szybko informatyk zadzwoni, uwierz mi.

[mattz_]

Wpadłem zobaczyć co tam w lokalnym sanepidzie w aktualnościach. Chyba wszystko git jest. ( ͡° ͜ʖ ͡°)

[rencznik]

@mattz_: Evrysing is fajn https://psseklodzko.pis.gov.pl/?archiwum=12

[rencznik]

@mattz_: A tak naprawdę, to mają nową stronę - https://www.psse.klodzko.pl/ - co nie zmienia faktu, że wszędzie maila podają z rządową końcówką i istnieje w ogóle ta strona. Chyba mają jakiś obowiązek z tym związany, nie kumam.

[srgs]

czy to oznacza ze rekalmy w tv tez pochodza od ruskich hakerow?

[rencznik]

@srgs: Nie brak opinii, że za tymi reklamami stoją rosyjskie służby hehe.

[Stivo75]

https://psseswidnica.pis.gov.pl/?glowna=50

XD

Nawet nie sprawdzam czy jest podatność na SQL injection, bo widzę jak BYK że jest... pewnie siedzi cała baza ludzi po PESELach..

where lang = '1' and active = '1' and deleted != '1' and hidden != '1' and conty' at line 1

Rodzi się w ch*j pytań:
- Dlaczego projektant serwisu porównuje typ danych typu int do string?
- Dlaczego błędy SQL walą po ekranie?
- Gdzie się podziały

[rencznik]

@Stivo75: w ogóle to baza jest jedna, tylko tabele różne XD https://psseklodzko.pis.gov.pl/?archiwum=12

Końcówka restored sugeruje, że coś już się działo.

[Stivo75]

@rencznik: No napisałem że tabele można zjechać po url ( ͡° ͜ʖ ͡°)

[rencznik]

@Stivo75: A no tak, źle zrozumiałem.

[no_49]

Polska PiS w pigułce. XD

[aksal89]

Kurde, też niedawno próbowałem wejść na stronę chyba sanepidu i wywalało mnie na jakieś ruskie strony i zastanawiałem się co to za #!$%@? akcja, nie sądziłem, że to ogólnopolskie XD

[JENDZA]

xDDDDddd