12306火车订票系统漏洞
- - 蓝飞技术部落格摘要：铁道部旗下在线购票网站12306自诞生起就一直为人所诟病，网站经常崩溃、UI粗糙、漏洞满框，但这都不是什么新闻了，近日网友爆出12306的技术框架及其表结构，大家可以来一览究竟. 应用服务器：WebLogic. 开发框架：Spring\Hibernate\Struts. 这里可以看到完整的SQL语句：.
12306火车订票系统漏洞
标签：
火车
系统
漏洞
| 发表时间：2012-09-27 18:44 | 作者：蓝飞
出处：http://www.clanfei.com/
摘要：铁道部旗下在线购票网站12306自诞生起就一直为人所诟病，网站经常崩溃、UI粗糙、漏洞满框，但这都不是什么新闻了，近日网友爆出12306的技术框架及其表结构，大家可以来一览究竟。可以明确的是：
数据库： Oracle
应用服务器：WebLogic
开发框架：Spring\Hibernate\Struts
连接池：C3P0
这里可以看到完整的SQL语句：
SQL语句如下：
select * from TB_INFO_CLCS where flag='Y' and czdm='G' and ziz like '%6'%' order by cxdm
这句SQL有几个亮点：
- select *全表查询，会降低查询效率，只查询所需的列名可以减少查询数据，提高性能。
- like效率比较低，在数据量较大的情况下不适用。
- like '%6'%'说明没有过滤，存在SQL注入漏洞。
漏洞地址（已修复）： http://hyfw.12306.cn/hyinfo/action/ClcscxAction_clcscx?cllx=G&ziz=6'
相关 [火车 系统 漏洞] 推荐：
西门子工业控制系统发现更多漏洞
- 龙 - Solidot在赌城举行的年度Black Hat会议上，安全研究人员Dillon Beresford报告在西门子的工业控制系统中发现了更多漏洞，包括可被用于远程拒绝服务的漏洞、硬编码管理密码、甚至是复活节彩蛋程序. 此前，著名的Stuxnet就是以西门子系统中的PLC为目标. 研究人员表示已经向西门子计算机紧急反应小组报告了他的发现，而西门子表示正准备发布补丁修复部分漏洞.
谷歌Chrome操作系统被曝存在多个漏洞
- 龍渊冭子 - cnBeta.COM据国外媒体报道，两位研究人员今天表示发现Chrome OS系统存在多个漏洞，并通过这些漏洞破解该系统. 当谷歌在几年前最先开始谈论其Chrome OS软件的时候，其中一个卖点是承诺该系统的内置安全保护将优于其他操作系统. 现在，尽管Chrome OS仅仅上市几个月，安全专家已经掌握破解该操作系统的方法.
开源web漏洞扫描系统 – IronWASP 2014版发布
- - FreeBuf.COMIronWASP是一款开源的Web应用程序漏洞扫描系统，用户可以自定义安全扫描，并且可以自己用python/ruby来定义插件系统，来丰富漏洞测试项目，插件系统的语言版本是IronPython和IronRuby，语法上类似CPython和CRuby. 在2014版本中，加入了众多实用的功能，如下：.
开源API越权漏洞检测系统推荐：IDOR_detect_tool
- - 程序猿DD相信大部分读者跟我一样，每天都在写各种API为Web应用提供数据支持，那么您是否有想过您的API是否足够安全呢. Web应用的安全是网络安全中不可忽视的关键方面. 我们必须确保其Web应用与后台通信的安全，以防止数据泄露，因为这可能导致重大的财务损失和声誉受损. 而在Web应用的安全问题中，最常见的漏洞之一是不安全的直接对象引用，简称：IDOR.
Android系统曝出高危漏洞 逾十亿手机存被黑风险
- - TechWeb 今日焦点 RSS阅读凤凰科技讯 北京时间10月2日消息，据《财富》杂志网络版报道，安全研究人员周四宣布，他们在谷歌Android系统中发现了两个高危漏洞，逾10亿部Android设备面临被黑的风险. 研究人员称，这意味着“几乎每部Android设备”都受到了影响，从Android 1.0设备到最新Android 5.0设备.
【图集】世界上最危险的火车系统
- 林子 - 译言-每日精品译文推荐来源IN PICTURES: The World\'s Most Dangerous Train System. 根据法国新闻社的报道，每年约有25000人死于印度的铁路上. 在这些遇难者中，许多人都死于火车事故，剩下的多数则死于摔出车门或者在轨道上被撞. 在火车高速奔驰的时刻，在火车的第一节车厢或一般得隔间里是一场噩梦，那里的每一寸地方都爬满了上下班的人.
关于火车订票系统瓶颈的分析
- - ITeye博客1.根据新闻发布的数据，每年春运的运送旅客人次在31亿人次，基本分布在40天时间内. 2.依然提前10天买票，所以这么算每天最多在1亿人次(新闻说最多7kw每天依然做坏打算). 3.假设每个人只自己买票，或者每个票都需要实名认证(最坏的统计). 4.每天会有1亿的业务查询(身份证验证),每天会有1亿的交易(支付).
建设一个靠谱的火车票网上订购系统
- - 爱范儿 · Beats of Bits昨天，2012年1月11日，网友 @fenng 写了一篇文章，批评铁道部火车票网上订购系统，http://www.12306.cn [1]. 同时在新浪发了一条言辞激烈的微博，“去你妈的‘海量事务高速处理系统’”，引起热议 [2]. 春节将到，大家买不着车票，赶不上大年三十与家人团聚，急切心情可以理解.
简单讨论火车票系统后面的架构设计
- - 酷勤网-挖经验 [expanded by feedex.net] 来源：51CTO技术博客 2012-01-16. 简单说，在线服务scalability有两种方式，scale-up和scale-out. Scale-up追求单机性能，如高级硬件、异步架构等，而scale-out则用加机器的方法. Scale-out也是最简单的方法，在规模不是非常大时很好用，也很容易解决问题，普通工程师就足以胜任.