JWorld@TW the best professional Java site in Taiwan
      註冊 | 登入 | 全文檢索 | 排行榜  

» JWorld@TW » 交流、聊天、灌水  

按列印兼容模式列印這個話題 列印話題    把這個話題寄給朋友 寄給朋友   
reply to topicthreaded modego to previous topicgo to next topic
本主題所含的標籤
無標籤
作者 請問花旗銀行客戶資料外洩問題出在那 [精華]
jay0904





發文: 6
於 2003-11-11 17:40 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
今天新聞報導了花旗銀行線上申辦活動的客戶資料外洩,原因出在
網頁程式,照情形看起來好像線上申辦的資料庫是隔開的,所以傷
害沒有那麼大...不過這則新聞讓我膽顫心驚,深怕自己那天也搞出
這種問題,寫了一個有安全漏洞的程式。
在想他們為什麼會出錯,那裡出錯..
應該不會那麼單純只是身份驗証/查詢機制出了問題吧。
看花旗網站上其他部份的網頁都是用asp作的
想請教各位有經驗的高手們指點
他們可能錯誤的地方在那,該注重那些環節才不會發生這種問題
我知道j2ee有許多安全的參考實作,但是該怎麼讓實作發揮功效
需要大家經驗交流切磋,如果有一個探討java程式安全專區的版
版(也許可能會很冷,導致開不下去),可以讓各位先進指導..可能台灣
就會少了一個會出包的programmer。我想安全上的議題是首重觀念
,再來才是技術和實作。觀念很難從一般的書上學到..希望大家經驗傳承
在應用層級這方面的安全是該由programmer來負責的,說了這麼多
還是怕自己出鎚Dead 請大家幫個忙~解答一下


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jay0904]
moliwang

用嘴巴打嘴炮比用鍵盤打嘴炮要來的務實

版主

發文: 1215
於 2003-11-11 18:14 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
jay0904 wrote:
今天新聞報導了花旗銀行線上申辦活動的客戶資料外洩,原因出在
網頁程式,照情形看起來好像線上申辦的資料庫是隔開的,所以傷
害沒有那麼大...不過這則新聞讓我膽顫心驚,深怕自己那天也搞出
這種問題,寫了一個有安全漏洞的程式。
在想他們為什麼會出錯,那裡出錯..
應該不會那麼單純只是身份驗証/查詢機制出了問題吧。
看花旗網站上其他部份的網頁都是用asp作的

跟用asp沒太大關係,只是最後秀出使用者資料給客戶確認時,
URL上大拉拉地把類似serialnumber=00000200
之類的參數秀給人家看,害別人改了序號以後,
可以跟server要到其他的人的資料.
可能他們的東西做完以後沒有經過某些驗證程序就直接上線了吧,
不然書中多少都會告訴讀者,少用get,以免這樣的資訊外漏.


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:moliwang]
Biologic

生物學下的產物



發文: 524
於 2003-11-11 18:25 user profilesend a private message to usersend email to Biologicreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
moliwang wrote:
跟用asp沒太大關係,只是最後秀出使用者資料給客戶確認時,
URL上大拉拉地把類似serialnumber=00000200
之類的參數秀給人家看,害別人改了序號以後,
可以跟server要到其他的人的資料.
可能他們的東西做完以後沒有經過某些驗證程序就直接上線了吧,
不然書中多少都會告訴讀者,少用get,以免這樣的資訊外漏.


不過原則上 就算修改 serialnumber 也不應該讓沒有授權的人看到資料....

不過這種設計幾乎的所有 web app 的通病....

我覺得跟用不用 get/post 沒有關係, 畢竟現在有很多 tool 可以協助模擬 web browser. 這種大眾用 web app, 安全設計本來就應該要很嚴謹的...

不知道那家幫花旗設計的公司倒了沒?


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:Biologic]
linexpmail

好玩就好



發文: 456
於 2003-11-11 18:46 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
看新聞不像 Cross-Site Scripting (XSS) Flaws,應該是犯了 OWASP Top Ten
Security Vulnerabilities 十大排行榜第一條:Unvalidated Parameters 。

申請表格往往必須比對現有資料庫,查詢是否重複資料,一個 id 值在
頁面中間傳來傳去被改就出問題。一是避免傳 id 這類可以查詢的參數,
一是加料 id 然後比對,純看設計需求。

加料 id 的 php 版,jsp/perl/asp 做法也是類似。
http://www.sklar.com/page/article/owasp-top-ten

OWASP Top Ten Security Vulnerabilities
http://www.owasp.org/documentation/topten

Tomcat: The Definitive Guide Chapter 6: Tomcat Security (PDF)
http://www.oreilly.com/catalog/tomcat/index.html


reply to postreply to post
不除妄想不求真
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jay0904]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-11 19:26 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
剛剛聯絡我從前的外包廠商,雖然遮遮掩掩,但還是被我問出來了...果然摟子就是他們捅的,正在開危機處理會議,嘿嘿!那家公司還不小耶!

這個問題,我們公司之前的網站也出現過...Black Eye我發現以後,痛罵該廠商,無奈已經付錢了。後來還是自己補強了一下(每一頁都確認一次登入者與query的結果是不是屬於同一個會員,夠沒效率的),但是仍不太保險。

其實這個問題很明顯,是沒有經驗的程式人員做出來的,客戶如果在驗收之初沒有警覺性,也不知道要在這方面要求廠商設立驗收腳本,就會捅出這種問題。

之前jsptw討論過測試,我覺得另一個PM必修的科目叫做「驗收」。驗收有兩個不同的面向:業主想的是,怎樣的驗收才能確認系統是符合需求而不會有狀況;PM想的是,如何叫業主簽字驗收通過。這種拉拒,在台灣似乎完全沒有規則可以依循。

根據以前擦屁股的經驗,外商公司的驗收,如果要過總公司那一關,一定要寫測試腳本(為驗證此功能,請操作步驟一 blah blah blah,步驟二 blah blah blah....驗證通過)。當時一個流程管理系統的操作介面修改,測試腳本超過一百四十頁,包含了兩百項驗證,加起來要做上千個操作步驟才能完成。那一次測試腳本的撰寫,三個月前前後後來回了不下十次,雖然灰頭土臉(只拿了不到十萬塊),但也讓我學到了非常多非常多關於「驗收」的細節。期間承包商也試過各種方法想要cut掉這一段,但老外不為所動。最後,驗收也沒有發生什麼問題,因為在制訂腳本的過程中,已經發現並改善了大部分的漏洞。

如果這次,花旗有要求廠商確實的寫驗證腳本,也根據spec與各種考量制訂驗證時的操作步驟,並確實驗證,就應該不會讓這種外行人寫出來的東西過關。只是,這次的廠商,是個所謂的campaign廠商(就是專包campaign的廠商),而決定使用campaign廠商的,當然是行銷部的決定。看起來,這場戰爭還有得完。


aladdin edited on 2003-11-11 19:30
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:Biologic]
moliwang

用嘴巴打嘴炮比用鍵盤打嘴炮要來的務實

版主

發文: 1215
於 2003-11-11 19:53 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
Biologic wrote:
不過原則上 就算修改 serialnumber 也不應該讓沒有授權的人看到資料....
不過這種設計幾乎的所有 web app 的通病....


每次上網交易完之後,
都會本能地看看有沒有資訊可以撈,
目前還沒看過讓人有機可趁的網站,
可能是這個問題太general,
讓人沒有注意到吧!


我覺得跟用不用 get/post 沒有關係, 畢竟現在有很多 tool 可以協助模擬 web browser. 這種大眾用 web app, 安全設計本來就應該要很嚴謹的...


但是這種細微也是很重要的,
雖然不管是post/get都沒太大差別,
但是至少避免像今天一個不懂程式設計的人也可以像那位先生一樣亂try.
今天大概很多外包公司都會忙壞了,
急著檢查自己的產品有沒有這種問題,
免得下一個被求償.


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jay0904]
singlelog

換回來



發文: 416
於 2003-11-11 22:16 user profilesend a private message to usersend email to singlelogreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
看新聞的報導,應該是query時,直接把parameter丟進去,所造成的。這種的還好抓,其實也蠻好測的,只是end user或是大公司的IT沒這個sense,不見得會測到這樣的scenario。

之前的project有類似的狀況。可能是在處理session時出了問題,系統run了很久以後,session錯亂了。你可能會拿到別人session裡面的data。一般來說,在用量不夠大時,不會發生。所以我懷疑是trasaction的量累積到一定的程度後,系統的resource不夠才會發生的。不過我們把testing environment stress到快要掛點了,還是reproduce不出來。tester試了超久,怎麼樣都try不出來。每次我請他們再想想看,都要流眼淚了。

因為程式一開始是菜鳥寫的,所以寫得超醜,大家都看到眼睛脫窗了還是找不出來問題在那裡。user哇哇叫好久,這個問題很嚴重,會嚴重影響公司形象...可是我們怎麼樣都reproduce不出來,後來我發揮賴皮的天性,把這個問題栽贓在bea頭上。因為他們有下面這個link:
http://dev2dev.bea.com/resourcelibrary/advisoriesnotifications/BEA03-26.01.jsp

到BEA的網站,search一下race condition就會有啦。Smile看到這個link時,真像溺水的人看到一塊大浮木。

後來每次遇到,我就說:『嗯,這有可能是BEA的問題。我們也不確定,我們一方面會依據BEA的建議,另一方面會努力想其他turn around的solution。』

結果花了很多時間,service pack也上了,code也做了N回的改寫跟review,還是抓不出來,都快被客戶叫去砍頭了。就只能一直用拖延戰術:『我們上了新的版本,應該不會有這個問題,你們要不要再觀察一陣子看看。』因為沒有人可以reproduce這個問題,所以也不知道問題是否真的解了。算是比較慘的地方啦。

我的內心,只好一路期待,保固期間趕快過去,保固期間趕快過去。最近保固期終於過了,不過,我們又接了新的enhancement project。哈哈哈。還好我已經屁股拍拍走人了。


reply to postreply to post
我的書:專案管理Happy書!

我的網站:diggirl.net

my blog http://tinyurl.com/36gcye
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:singlelog]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-11 23:25 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
singlelog wrote:
看新聞的報導,應該是query時,直接把parameter丟進去,所造成的。這種的還好抓,其實也蠻好測的,只是end user或是大公司的IT沒這個sense,不見得會測到這樣的scenario。

之前的project有類似的狀況。可能是在處理session時出了問題,系統run了很久以後,session錯亂了。你可能會拿到別人session裡面的data。一般來說,在用量不夠大時,不會發生。所以我懷疑是trasaction的量累積到一定的程度後,系統的resource不夠才會發生的。不過我們把testing environment stress到快要掛點了,還是reproduce不出來。tester試了超久,怎麼樣都try不出來。每次我請他們再想想看,都要流眼淚了。

因為程式一開始是菜鳥寫的,所以寫得超醜,大家都看到眼睛脫窗了還是找不出來問題在那裡。user哇哇叫好久,這個問題很嚴重,會嚴重影響公司形象...可是我們怎麼樣都reproduce不出來,後來我發揮賴皮的天性,把這個問題栽贓在bea頭上。因為他們有下面這個link:
http://dev2dev.bea.com/resourcelibrary/advisoriesnotifications/BEA03-26.01.jsp

到BEA的網站,search一下race condition就會有啦。Smile看到這個link時,真像溺水的人看到一塊大浮木。

後來每次遇到,我就說:『嗯,這有可能是BEA的問題。我們也不確定,我們一方面會依據BEA的建議,另一方面會努力想其他turn around的solution。』

結果花了很多時間,service pack也上了,code也做了N回的改寫跟review,還是抓不出來,都快被客戶叫去砍頭了。就只能一直用拖延戰術:『我們上了新的版本,應該不會有這個問題,你們要不要再觀察一陣子看看。』因為沒有人可以reproduce這個問題,所以也不知道問題是否真的解了。算是比較慘的地方啦。

我的內心,只好一路期待,保固期間趕快過去,保固期間趕快過去。最近保固期終於過了,不過,我們又接了新的enhancement project。哈哈哈。還好我已經屁股拍拍走人了。


獨孤兄的經歷,讓我想起我剛進現在公司的事情。

我們公司的網站,在我來之前,已經是後端機制ready但還沒上線的狀態。我到的時候,就只是改個interface然後等上。可是等到網站完全上線的時候,第一天就遇到這個問題——使用者登入以後看到的是別人的資料!扯吧!這個機制還是國內某個不小的公司號稱揚威國際的solution(一個掛在IIS下的.exe檔算哪門子揚威國際的solution?)

我自己試了幾次沒試出來,但是我們的客服大概兩天就會有這樣一個電話進來。原本還想做線上金流的,這下子完全不敢動。我自己追了幾次,懷疑是session tracking錯誤,但是我也沒有原始碼,也沒有可供debug的工具。追機制廠商,他們說他們這個機制用了這麼多家從來沒發生過這個問題——是哦,經建會和台北市政府的消息公佈欄大概沒有需要login吧!這個偉大的solution完全沒有可供administration的api,所以,一直沒有辦法搞清楚怎麼回事。最後,火大了,在所有的網頁最後都把當時的session number和cookie給tracking下來(這又是一個大苦工,你能想像一個類似c語法的語言,裡面完全不提供function這樣的機制,所有的事情都要inline處理嗎?最後,只能用include)追了三個星期,才發現如何reproduce這個錯誤。然後呢?沒有改進。一直到保固期自動消失,保固的10%也沒付。最後,我只好找人用asp重寫。

上述這家公司的這個solution,和我前後相處了半年,問題實在有夠多。除了前面提的session錯亂與使用者身份驗證的疏失之外,我們家網站掛的ISP,每兩天要把我這部機器重開一次,不然,所有的port都可能會被塞滿。每1500個database的connection,就大概有一個connection收不掉。真是夠恐怖的。現在想起來,還是心有餘悸。

花旗好像這次不會善罷干休。「幸災樂禍」是不是一件不道德的事情啊?我為什麼很希望花旗可以好好的給他們一點顏色看呢?


aladdin edited on 2003-11-11 23:31
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:aladdin]
metavige

麥塔.米奇

版主

發文: 2133
於 2003-11-12 01:22 user profilesend a private message to usersend email to metavigereply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
aladdin wrote:
剛剛聯絡我從前的外包廠商,雖然遮遮掩掩,但還是被我問出來了...果然摟子就是他們捅的,正在開危機處理會議,嘿嘿!那家公司還不小耶!

這個問題,我們公司之前的網站也出現過...Black Eye我發現以後,痛罵該廠商,無奈已經付錢了。後來還是自己補強了一下(每一頁都確認一次登入者與query的結果是不是屬於同一個會員,夠沒效率的),但是仍不太保險。

其實這個問題很明顯,是沒有經驗的程式人員做出來的,客戶如果在驗收之初沒有警覺性,也不知道要在這方面要求廠商設立驗收腳本,就會捅出這種問題。

之前jsptw討論過測試,我覺得另一個PM必修的科目叫做「驗收」。驗收有兩個不同的面向:業主想的是,怎樣的驗收才能確認系統是符合需求而不會有狀況;PM想的是,如何叫業主簽字驗收通過。這種拉拒,在台灣似乎完全沒有規則可以依循。

根據以前擦屁股的經驗,外商公司的驗收,如果要過總公司那一關,一定要寫測試腳本(為驗證此功能,請操作步驟一 blah blah blah,步驟二 blah blah blah....驗證通過)。當時一個流程管理系統的操作介面修改,測試腳本超過一百四十頁,包含了兩百項驗證,加起來要做上千個操作步驟才能完成。那一次測試腳本的撰寫,三個月前前後後來回了不下十次,雖然灰頭土臉(只拿了不到十萬塊),但也讓我學到了非常多非常多關於「驗收」的細節。期間承包商也試過各種方法想要cut掉這一段,但老外不為所動。最後,驗收也沒有發生什麼問題,因為在制訂腳本的過程中,已經發現並改善了大部分的漏洞。

如果這次,花旗有要求廠商確實的寫驗證腳本,也根據spec與各種考量制訂驗證時的操作步驟,並確實驗證,就應該不會讓這種外行人寫出來的東西過關。只是,這次的廠商,是個所謂的campaign廠商(就是專包campaign的廠商),而決定使用campaign廠商的,當然是行銷部的決定。看起來,這場戰爭還有得完。


呵呵~
講到這種沒經驗的程式設計師
就想到最近朋友在跟我講有關於他們公司的PG寫程式的樣子Black Eye

其實我想"驗證"這樣的事情
其實不只是PM要學
我想簡單的概念要在當PG的時候就應該要了解簡單的觀念了~
不然我想要一直到了當到PM才知道~ 其實那是很可怕的


reply to postreply to post
請各位新手參考 論壇規範Java 新手 FAQ
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:metavige]
jini

SoftLeader Taiwan

版主

發文: 1266
於 2003-11-12 01:50 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
安全性和便利性通常是相互矛盾的
提高安全性的做法就必須失去便利性.. 反之亦然

大多的安全性問題都是人為的問題
但是我曾經遇到過 server 端驗證機制都非常完善
幾乎找不到任何一個問題
卻在 client proxy 出了問題

A ----query--> showPersonalData.jsp
B ----query---> showPersonalData.jsp

該死的 proxy 竟然認定是 A 重新發送的 request,
就直接回傳給 B 相同的資料 :<
即使我們加上了 no-cache , no-proxy 的網頁參數也拿那台機器沒輒
最後採用修改程式外掛亂數名稱...

搞 web-based ... 就得面對這種雜七雜八.稀奇古怪的事情 =.="

當我採用了 struts 之後會增加 jsessionId 還有 session token 的機制
相對起來我們公司所做的交易系統安全性趨於完善 ( Big Smile 打個小廣告 )


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jay0904]
singlelog

換回來



發文: 416
於 2003-11-12 05:16 user profilesend a private message to usersend email to singlelogreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
花旗的這個問題算是比較扯的啦。應該是用很新的新手,才會出這種包。

剛剛看新聞,財政部好像已經下條子要處罰了,銀行最怕出這種漏子。我老婆看到新聞就說,是不是要趕快把信用卡剪回去。Smile

以前我們公司寫的系統也有security上面的potential issue。只是發現的晚,沒被抓出來,發現後通常裝聾作啞。就賭這種企業內部在用的系統沒人會那麼閒去入侵。事實上也是啦。內部在用的系統跟外部在用的系統,security level是差很多的。

其實除了這種入門的問題以外,以前我們遇過race condition的問題,還是在clustering的環境中。所以問題不是很好解。我記得architect與senior engineer間討論了很久,最後好像是把ejb在deployment時,設exclusive lock去解。

那時候的疑問是,會不會有deadlock?performance不會有concern嗎?他們說,所有用到的地方,如果我們依照某個特定的sequence去lock, unlock應該不會有deadlock。至於performance應該不會有concern。

我本來想說這種問題應該要做application lock,以免performance不好。可是clustering的環境,這個locking的機制,我就沒什麼概念。況且先前如果沒有任何locking的機制,要改,就是個大改。已經在run的系統,可能沒什麼人會想去做這種大工程。既然J2EE有solution,那很好。

要做到critical section的mutual exclusive,應該是很典型的問題,為什麼一開在我們所用的『高人所寫的component』中,沒有handle這塊,就不得而知了。當PM的好處是,有些implementation/design的detail,應該是architect要負責去看出來的。所以岀這種槌,都可以裝死。只要得要去收拾殘局就是了。

結果我走人以後,最近跟以前的同事聊天,他們說,上次的解法,performance變得很糟,server的cpu被操到100%...

嗯,有空時應該再追追目前變成什麼樣子,打算怎麼去解?Smile


reply to postreply to post
我的書:專案管理Happy書!

我的網站:diggirl.net

my blog http://tinyurl.com/36gcye
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:singlelog]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-12 06:46 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
singlelog wrote:
......

要做到critical section的mutual exclusive,應該是很典型的問題,為什麼一開在我們所用的『高人所寫的component』中,沒有handle這塊,就不得而知了。
......


我六年前收的一個爛攤子,也是有類似的問題,整個系統到驗收的時候,才發現lock這個問題。那個時候,所有的核心update都沒有lock,又用序號做pk,測試時一直都沒問題。等到上線,就發現這個問題會導致資料遺失,偏偏業主的驗收人員裡面,有個經驗豐富的「非」技術人員,測試的細節懂很多。騙不過,只好改。當時最快的方式,就是把有這個concern的操作,全部拉回到sql用stored procedure重寫。由於用的是MS SQL 6.5,面臨的lock問題還不少。翻來覆去(把每個insert和update都翻出來看一遍)弄清楚了,最後還是交貨。

檢討會議的時候,我有幸在場(一般來說,這種會議,外包是無法參加的),才發現PM和PG有很嚴重的溝通問題,可以從這個案子的預算有多少只「應該」做多少事,到哪個功能當初沒有PM說的那麼複雜,一直吵。前一陣子,在m$的討論會上看到那時的PM,現在已經是.net某大講師了,擅長項目還是ADO.net,心裡實在有許多感慨。

希望他已經弄清楚當時的問題了!


aladdin edited on 2003-11-12 06:49
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jini]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-12 06:58 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
jini wrote:
大多的安全性問題都是人為的問題
但是我曾經遇到過 server 端驗證機制都非常完善
幾乎找不到任何一個問題
卻在 client proxy 出了問題

A ----query--> showPersonalData.jsp
B ----query---> showPersonalData.jsp


這個問題,我也曾經在某公家機關「看」到過。上某個網站登入資料,突然看到別人的訂購內容,仔細一看,原來是同事的。那個user還得意了很多天,因為送貨地址不是那個同事的家裡......Evil順便打個小廣告,他們用的是M$的proxy server 3.0。Smile


aladdin edited on 2003-11-12 07:01
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:aladdin]
singlelog

換回來



發文: 416
於 2003-11-12 07:04 user profilesend a private message to usersend email to singlelogreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
aladdin wrote:
我六年前收的一個爛攤子,也是有類似的問題,整個系統到驗收的時候,才發現lock這個問題。那個時候,所有的核心update都沒有lock,又用序號做pk,測試時一直都沒問題。等到上線,就發現這個問題會導致資料遺失,偏偏業主的驗收人員裡面,有個經驗豐富的「非」技術人員,測試的細節懂很多。騙不過,只好改。當時最快的方式,就是把有這個concern的操作,全部拉回到sql用stored procedure重寫。由於用的是MS SQL 6.5,面臨的lock問題還不少。翻來覆去(把每個insert和update都翻出來看一遍)弄清楚了,最後還是交貨。

stored procedure嗎?事實上有些問題,是結構性的問題,不是光update的那一段啊。Smile 到處都有,到處都要改。改到後來,不就等於重做?我們因為在測試期間量不夠大,所以沒測到。上線後才被抓到。這種東西一錯,就要改一堆data,常常為了要解問題,要寫一堆sql去改。更慘的是還要請人寫程式去改,放在db的blob。我們家的大師們把xml放在裡面。Sad常常到了後來,看到那種不知道怎麼收場的狀況喔,實在都要流眼淚。

aladdin,看來你也蠻坎坷的。Smile 幹這一行的好像都這樣。


singlelog edited on 2003-11-12 07:09
reply to postreply to post
我的書:專案管理Happy書!

我的網站:diggirl.net

my blog http://tinyurl.com/36gcye
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jay0904]
leavis





發文: 6
於 2003-11-12 08:47 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
補充一下.....
台灣資訊人員薪水普遍比國外 "低很多" , 果然不是沒有原因的...

台灣軟體三不政策.... 程式人員 "不小心", PM "不注意", 驗收人員 "不關心".
導致於很多人不明白其實自己不適合coding(至少離真正的coding還很遠) , 成就了"程式設計師滿天飛" 的台灣, 也間接導致了程式設計師供過於求.....

選舉到了...中華民國萬歲.....台灣萬歲...薪水萬歲.......萬萬稅......>_<


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:singlelog]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-12 09:46 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
singlelog wrote:
stored procedure嗎?事實上有些問題,是結構性的問題,不是光update的那一段啊。Smile 到處都有,到處都要改。改到後來,不就等於重做?我們因為在測試期間量不夠大,所以沒測到。上線後才被抓到。這種東西一錯,就要改一堆data,常常為了要解問題,要寫一堆sql去改。更慘的是還要請人寫程式去改,放在db的blob。我們家的大師們把xml放在裡面。Sad常常到了後來,看到那種不知道怎麼收場的狀況喔,實在都要流眼淚。

aladdin,看來你也蠻坎坷的。Smile 幹這一行的好像都這樣。


我自己的職業生涯也跟別人很不一樣。六年前,因為某些原因開始從行銷這個行業跳做freelancer,接大公司的東西做。有一次幫某家現在已經上市的公司改個小東西,突然拉出了一長串問題,那一長串問題還讓那家公司的某個資深程式師待不下去走人。最後,由於使用者已經發現了那個問題,用了一點小聰明解決掉,客戶也照顧得很滿意。之後,就專門負責收爛攤子。

收爛攤子的好處是錢比較多,但是,控制權常常不在自己的手上,也許因為個性的關係吧,我覺得不那麼難受。收爛攤子,除了一點小聰明,就是磨功要夠——和客戶磨、和程式師磨、有時還要和資訊公司的老闆磨。凡事以驗收為第一要務,除非踢到很硬的鐵板(像我之前提的外商公司),否則其實還過得去。三年前,覺得這樣的日子有點無趣,就投效e-agency做網頁。根據我當時的account同事說:每個案子,我都會把他從沒有問題,搞成一堆問題,然後自己解決累得半死,客戶還不appreciate。其實客戶還是聰明的,當時的幾個客戶,現在有任何網站設置的問題,我還是第一諮詢人選。前一個e-agency被裁員後(公司是被我搞垮的嗎?Black Eye),就找了現在的工作,身份改為業主,嘿嘿!我們公司的vendor不好當啊!

這三年,和以前一起奮鬥的程式設計師聊天,他們都覺得專案的水準,是業主的程度決定的——不是光錢的問題,業主對於技術的瞭解與取捨也很重要。其實這幾年國內的大環境和之前不太一樣了,稍微有點規模的公司,大的專案主事者都不是草包。反而是軟體公司,一直想透過錄用新鮮人壓低coding的成本,這種心態不變,業界就沒有辦法一套規矩區分程式師的良窳,最後,就是看誰有名、誰待過有名的公司,來決定要不要錄用。可是業主不會管你有不有名,東西不行就是不行,最後,就會是在台灣連據點都沒有的國外的公司來台灣接大案。這樣的案子,我最近已經聽到幾個了。比起對岸的競爭,其實這個更值得憂心吧!

一點小牢騷。該工作了!


aladdin edited on 2003-11-12 09:53
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:singlelog]
snpshu

Norman

版主

發文: 1073
於 2003-11-12 09:47 user profilesend a private message to usersend email to snpshureply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
昨天看到新聞demo , 換一個id number 就出來了 , 真是有夠扯的.. 我原本還以為是前鎮子熱門的sql injection 問題..沒想到..這會花旗黑了... @@

reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:leavis]
Millerlai





發文: 56
於 2003-11-12 09:47 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
Post is deleted

Millerlai edited on 2016-05-01 11:48
reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:jini]
popolom





發文: 7
於 2003-11-12 10:53 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
唉~~~反正就是外包的pr沒經驗,驗收的花旗也沒經驗
一堆沒經驗的人搞出來的,這種狀況多的是。

真正要抓的話,我相信還有很多網站的措施還有沒做好!!


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:Millerlai]
Biologic

生物學下的產物



發文: 524
於 2003-11-12 10:59 user profilesend a private message to usersend email to Biologicreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
Millerlai wrote:
我個人覺得並不然,很多老闆貪小便宜,就請廉價的工讀生,

一小時100~150?好一點可能有到200.....

試問品質能好到哪裡去?即使是工讀生,也有分有經驗跟沒經驗的。

有經驗的工讀生誰願意去寫那種『價錢又低又趕的要死』的案子?

試問如果公司願意出好一點的價錢請一個有經驗的程式師?

這種問題應該會減少很多,我說『好的程式師』絕對不會供過於求。

容我說句很難聽的話:『那種本來完全不會寫程式,去資策會訓練幾個月

就會寫程式了?老闆願意相信,那就要承擔這種風險。』(我沒有要挑起筆戰...)

如果是當程式師的,我想應該要以『專業的程式設計師』自我要求自己。

任何行業都一樣,一分錢一分貨,公司願意付出多少?員工也願意付出多少。

台灣有些公司不把員工當『資產』,相對的把員工當『消耗品』。


MS 他們是雇用工讀生寫程式的....
我以前讀大學的時候, 我們班上有幾位 MS 的工讀生~~


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:popolom]
Biologic

生物學下的產物



發文: 524
於 2003-11-12 11:03 user profilesend a private message to usersend email to Biologicreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
popolom wrote:
唉~~~反正就是外包的pr沒經驗,驗收的花旗也沒經驗
一堆沒經驗的人搞出來的,這種狀況多的是。

真正要抓的話,我相信還有很多網站的措施還有沒做好!!


根本就沒有做.... 不是沒做好....


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那..給那位寫程式的人加油 [Re:jay0904]
linexpmail

好玩就好



發文: 456
於 2003-11-12 15:02 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
為何微軟產品不斷有問題,但是仍可在號稱保護消費者權益的西方國家繼續賺錢?
耶穌基督的一個故事可以反映西方人的這種思維。

換句話說「誰可以寫那樣的程式沒有臭蟲,誰就可以先告倒微軟。」

連富可敵國的微軟都沒律法(立法)可丟石頭,月入幾萬的程式員沒必要
承當整個銀行或是消費者權益的責任,當做上一課,繼續寫下去吧。

http://www2.disciple.com.tw/disciple/Chungi_2002.nsf/54E7880122CC5F2248256B520040DEA5/71D9EF0E060C6FC748256834000A591D

1
2
3
在當時,執行用石頭打死的方式,是先將犯人雙手捆綁於背後,從刑場的高塔(台)處推之下去。
如果還沒有死,作證的人第一個可以先拿石頭向犯人的心臟處擲過去,若是仍還沒有死,再由
其他證人持續打,直到犯人死去為止。


reply to postreply to post
不除妄想不求真
作者 Re:請問花旗銀行客戶資料外洩問題出在那..給那位寫程式的人加油 [Re:linexpmail]
Biologic

生物學下的產物



發文: 524
於 2003-11-12 15:37 user profilesend a private message to usersend email to Biologicreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
linexpmail wrote:
為何微軟產品不斷有問題,但是仍可在號稱保護消費者權益的西方國家繼續賺錢?
耶穌基督的一個故事可以反映西方人的這種思維。

換句話說「誰可以寫那樣的程式沒有臭蟲,誰就可以先告倒微軟。」

連富可敵國的微軟都沒律法(立法)可丟石頭,月入幾萬的程式員沒必要
承當整個銀行或是消費者權益的責任,當做上一課,繼續寫下去吧。

http://www2.disciple.com.tw/disciple/Chungi_2002.nsf/54E7880122CC5F2248256B520040DEA5/71D9EF0E060C6FC748256834000A591D

1
2
3
在當時,執行用石頭打死的方式,是先將犯人雙手捆綁於背後,從刑場的高塔(台)處推之下去。
如果還沒有死,作證的人第一個可以先拿石頭向犯人的心臟處擲過去,若是仍還沒有死,再由
其他證人持續打,直到犯人死去為止。



有些是很明顯的 漏洞, 他們也都知道. 但就是打著一定不會發生的原則...

有時真的很想破壞給他們看....


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那 [Re:Millerlai]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-12 17:21 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
Millerlai wrote:
...
容我說句很難聽的話:『那種本來完全不會寫程式,去資策會訓練幾個月

就會寫程式了?老闆願意相信,那就要承擔這種風險。』(我沒有要挑起筆戰...)
...



前一陣子,壓力很大,每天讀.net讀到兩三點,早上七點就起床,和主管又有點溝通上的問題。我老婆看得心疼,有天就把巨匠在報紙的招生廣告拿給我,說:這上面說的那個java,你要不要去學學看,轉換轉換跑道也好。Black Eye

我在想,如果我真的去上課,有沒有辦法安安靜靜坐到終場,不問問題。不然,老師的日子會很難過.......


reply to postreply to post
作者 Re:請問花旗銀行客戶資料外洩問題出在那..給那位寫程式的人加油 [Re:linexpmail]
aladdin

老婆不准我用兒子照片



發文: 175
於 2003-11-12 18:03 user profilesend a private message to userreply to postreply to postsearch all posts byselect and copy to clipboard. 
ie only, sorry for netscape users:-)add this post to my favorite list
linexpmail wrote:
為何微軟產品不斷有問題,但是仍可在號稱保護消費者權益的西方國家繼續賺錢?
耶穌基督的一個故事可以反映西方人的這種思維。

換句話說「誰可以寫那樣的程式沒有臭蟲,誰就可以先告倒微軟。」



我問過我在紐約拿到律師執照的表弟,他說,其實事情不是這個樣子的。真正的狀況是這些失誤無法完全歸罪於微軟。

如果你仔細看過安裝 windows、office之前必讀的那段法律文字,你就知道,基本上,除非美國聯邦政府有些動作,你是告不倒微軟的。

首先,他人惡意的攻擊,是無法向微軟求償的——即便微軟在防止他人侵害上有所疏失。

再來,除非該損失的原因完全可歸責M$,否則,和他也是沒關係的。也就是說,明明今天因為M$系統沒寫好,導致我的photoshop常常當機,但是因為Photoshop夾在中間,所以,要就去告adobe(其實你也告不到adobe,理由相同),M$是沒有關係的。

如果你說,我在windows上跑word,還出問題就該找微軟了吧!那你得先看看你的右下角,有沒有掛著一堆程式。有,那你也沒指望了。像我使用自然輸入法多年,常常word打一半當機,這當然不算是微軟的錯——誰叫我要用非微軟的輸入法。如果你有icq,winamp,quicktime,甚至是我的logitech滑鼠程式,對不起,no way!誰能證明這些軟體不是導致你的損失的元兇?明明知道那非常不可能,可是這個reasoning的過程非常複雜。你需要那些所有的軟體公司作證,而作證的過程中,又會牽涉到這些軟體的商業機密...沒有哪家公司有這個興趣與時間去處理這件事。

所以,到目前為止,所有針對M$的指控,都來自對其市場獨佔地位進行的壟斷競爭。之前的柯林頓政府,執意要分解這個巨人——原因無他,當分成三家公司,就是三個頭,自然在競爭步調上就不像現在一樣統一。但是進入共和黨政府,立刻就息事寧人。現在除了有些州的判決之外,M$可說是大獲全勝。

很多想把M$告倒的律師,一直想使用各種理由要求聯邦政府對於這種不合理的除外責任加以限制,一旦這個部分能夠緊縮,那微軟就有得玩了(話說回來,那家軟體公司不是?搞不好,軟體產業會全面破功)今年的blaster,讓聯邦政府私下警告了微軟一次——這也是九月開始M$全面code review的導火線。至於後面呢?大家等著看囉!


reply to postreply to post
go to first page go to previous page  1   2   3   4  go to next page go to last page
» JWorld@TW »  交流、聊天、灌水

reply to topicthreaded modego to previous topicgo to next topic
  已讀文章
  新的文章
  被刪除的文章
Jump to the top of page

JWorld@TW 本站商標資訊

Powered by Powerful JuteForum® Version Jute 1.5.8