[資安報告] 北大軟體雲安全嗎?

去年(2017)年底,學校開放了「北大軟體雲」的服務,擁有多套授權軟體以及多平台都能使用,真的是非常方便的服務。

但使用這項功能是否真的安全呢?以下就由資訊傳播社帶你深入瞭解!

 

首先,我們檢查網站的 SSL 憑證,使用 RSA 加密的 SHA-256,且仍在有效日期範圍,通過!

但接下來就是我們覺得驚悚的開始…

沒想到當我們把工作管理員打開,發現了一個驚人的畫面。

我們竟然能夠看到所有的使用者,而且連他開的程式都能一清二楚的看到。

圖片為保護當事人將學號屏蔽,往後圖片亦同。

甚至我們試著將其他使用者登出(當然是認識的有先說好),沒想到也確實能操作。

 

於是乎,我們打開控制台,找到裡面的使用者帳戶設定,在點了幾個選項之後。

我們直接找到了一整串的學生名單以及電子郵件地址。

突然有股衝動想要寄信給所有人,信件如下:
主旨:您的資訊安全嗎?
內容:立刻下載 360安全卫士 保障您的資訊安全!

 

接著我們開啟檔案總管,尋找 C 槽的 Users 資料夾,所有人的資料夾一覽無遺。

當然這還沒什麼,於是我們試著打開資料夾。

沒錯,看起來是正常的,要有權限才能看其他使用者的資料夾。

但,當我們按下繼續時,本以為會跳出要求輸入系統管理者密碼之類的提示框…

打開了!沒錯!就這樣直接打開了,沒有任何的限制。

非常的驚悚!文件、下載等等資料夾,直接一覽無遺,我們更能直接打開隱藏的 AppData 資料夾,撈出裡面的資料,例如:應用程式的帳號密碼、Chrome 儲存的網站帳號密碼。

 

我們連什麼比較專業一點的指令都還沒下,就可以權限漏洞成這個狀況了Orz…

 

後記:為了保障同學的資料安全,我們會將此篇所提到的問題,先行反應給學校資訊中心,待這些問題處理完後,這篇文章才會公開。也就是說當你看到這篇文章時,這些漏洞應該已經被修復了(?

 

國立臺北大學資訊傳播社・守護您在校園的資訊安全

聯絡信箱:
cic@ntpu.org
粉絲專頁:
https://cic.ntpu.org/fb

發表留言

發表迴響