注册忘记密码

黑客论坛,黑客工具,黑客教程,QQ技术,黑客基地,黑客网络,黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防,黑客编程,黑客定位,手机定位,微信定位,hack,黑客网站,查开房,定位,信息查询

查看: 274|回复: 0

[网络安全] 特朗普的竞选诉讼证据收集网站发生数据泄露

[复制链接]
   0 UID
   0帖子
   0精华
21
   0威望
500
   0金币
47167
   0贡献
5000
   0阅读权限
   200
   积分
   0
   在线时间
   669 小时
   最后登录
   2020-11-30
发表于 2020-11-12 20:47:38 | 显示全部楼层 |阅读模式

特朗普竞选团队刚刚启动的DontTouchTheGreenButton.com网站发生了选民数据泄露事件。

遭泄露的数据包括选民姓名,地址和唯一标识符。有报道称该网站存在SQL注入漏洞,所以黑客可以收集选民的SSN和出生日期。

上周末,特朗普竞选团队在亚利桑那州提起诉讼,指控马里科帕县(该州人口最多的县)错误地拒绝了选举日当天一些选民的投票,要求对此进行人工核查。

而后,该团队建立了一个网站(DontTouchTheGreenButton.com),旨在从在投票站遭受错误拒绝行为的选民中收集证据,以证实诉讼指控。

该网站要求选民提供个人信息,例如姓名和地址,电话号码,电子邮件地址,出生日期以及社会安全号码(SSN)的最后4位数字,并回答多项选择题。

为了限制其他人,保证仅让马里科帕县选民发声,该网站允许用户“搜索”姓名并自动填充地址,如下所示:

鉴于选民记录已经是公共信息,所以任何人都可以查找此信息已经不足为奇。但其实,这存在明显的隐私问题。而且,该网站使用的API可能使得大量抓取选民信息。

如果在提起诉讼后相当快地启动了该网站,这个“紧急设置”会充满数据泄漏和SQL注入漏洞。

BleepingComputer发现有人利用Algolia REST API从服务器中提取了数据。请求中公开的API密钥和应用程序ID,可以使任何人以编程方式运行查询的方式从服务中批量获取投票者数据。REST API返回的JSON数据默认,包含5个投票者姓名和地址的列表,以及基于搜索查询的唯一标识符(例如投票者姓名的前几个字母)。

从理论上讲,可以通过将上面显示的hitsPerPage值更改为更高的值来进行自动查询,以下载选民信息,然后针对不同的多字母组合重复执行此操作,直到抓取整个数据集。

此后,用于检索选民信息的API已从DontTouchTheGreenButton.com网站上删除。

此事件标志着今年第二次与选民注册数据有关的API泄漏事件。

今年早些时候,拜登(Biden)竞选活动的“Vote Joe”应用程序使用的API被发现泄漏选民数据。

在启动诸如此类关键任务网站时,最好是进行彻底的安全评估以保护用户数据和隐私。

发表回复

您需要登录后才可以回帖 登录 | 注册会员

本版积分规则


快速回复 返回顶部 返回列表