Home Sign Up Sign In
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
sarices
V2EX  ›  程序员

吐糟一下一些政府的平台

  •   
  •   sarices · Dec 30, 2013 · 6345 views
    This topic created in 4703 days ago, the information mentioned may be changed or developed.
    最近接到某政府机构的订单，要把原来用的一个软件，增加一个审核功能，软件没有源代码，有接口，但是调试过接口和软件用的接口不同，最后想出了用抓包看看，看看软件访问的是哪里。

    竟然访问的是一个WEBSERVICE，而且不走HTTPS，直接走HTTP，没有做任何验证，接口没有注释，软件应该是.net写的，反编译一下，竟然可以

    最后我用php重写了一次，加上了审核功能，虽然是webservice，但是接口提交的都是SQL语句，推测数据库应该是oracle，全国各个省份分了表。验证用户名密码接口的只是为了登录软件，其他接口都没要求提供帐号密码，没试过DEL，理论上应该可以把所有的数据删除。
  • 接口
  • 软件
  • 验证
    40 replies  •  2023-04-08 20:36:50 +08:00
    Voren
    Voren
    Dec 30, 2013
    1
    反正都是临时工的错啦!
    qiuai
    qiuai
    Dec 30, 2013
    2
    政府机关的东西从来都是先把功能实现,其他的都不管,效率什么的自然会有其他人在撑不住了以后再接手去做.
    G2bN4dbX9J3ncp0r
    G2bN4dbX9J3ncp0r
    Dec 30, 2013
    3
    有几个人敢删
    MC
    MC
    Dec 30, 2013
    4
    这算是泄露国家机密了吗？吐槽完了你就成斯诺登了。。。楼主走好[蜡烛]
    julyclyde
    julyclyde
    Dec 30, 2013
    5
    承包政府项目的都是一些很虚的企业，各种资质，各种项目成果
    其实用的都是毕业生里面最便宜的那种。等人实在穷得干不下去了再换下一届
    外包行业中最烂的企业就是做政府项目的
    anheiyouxia
    anheiyouxia
    Dec 30, 2013
    6
    楼主，删了吧，这样很快大家就能看到：**地区黑客为检验自身能力入侵**政府服务器，并删除了所有数据。据悉该黑客利用公司职务之便，获取了**软件的源码，并在这些源码的基础上分析出了系统漏洞，最终利用了这些漏洞对**政府的服务器发起了攻击。
    sarices
    sarices
    OP
    Dec 30, 2013
    7
    @anheiyouxia 系统走内网的，我要到政府机构里面调试的，全程有人在旁协助。
    kawaiiushio
    kawaiiushio
    Dec 30, 2013
    8
    看看gov.cn 呵呵 web1.0
    cxe2v
    cxe2v
    Dec 30, 2013
    9
    @julyclyde
    @qiuai
    两位，YY容易伤身哦
    sarices
    sarices
    OP
    Dec 30, 2013
    10
    @julyclyde 是有转包的，但是没有那么严重，整个过程还是很严谨的，最近接的一个政府的投诉平台，要提交的材料有17份，基本上把整个源代码的注释了，目的是以后如果我们不维护了，还能交给其他公司维护，很多时候出的问题都是在需求不明确的情况发生的。
    gotounix
    gotounix
    Dec 30, 2013
    11
    这个不是很正常嘛！做过政府项目的人都知道，时间都用于伺候领导去了。
    qiuai
    qiuai
    Dec 30, 2013
    12
    @cxe2v 不信就当我没说就是了
    hohomeil
    hohomeil
    Dec 30, 2013
    13
    确实是这样。

    把实现功能做为最主要。另外一些所谓的招标，比较虚。
    yylzcom
    yylzcom
    Dec 30, 2013 via Android
    14
    看各地情况了，总之做项目一半经费拿去搞关系的例子肯定是有的。有的会议参会者包括开车的司机，人手一个iPod, 唉，各种不会用，我一个一个去教
    bigzhu
    bigzhu
    Dec 30, 2013
    15
    政府愿意做IT就算很不错了。如果能倒腾个能用的系统，那就更值得赞赏了。

    不管包不包，就算这个项目不包，还是有其他项目可以包的。。。做IT项目不至于把路挖开，再盖上，再挖开，再盖上......

    所以IT算好的了，不折腾人。至少不折腾老百姓。

    再说了，也要也实习生练手的机会嘛。
    mengzhuo
    mengzhuo
    Dec 30, 2013
    16
    政府网站，呵呵呵……
    loading
    loading
    Dec 30, 2013
    17
    上次有人联系要我帮忙，问我水平怎么样，说要求web 2.0，要div+css。
    我还不屑呢！！！
    tanyuxiang
    tanyuxiang
    Dec 30, 2013
    18
    zf不是经常物理隔离两条线么 一条打斗地主 一条收公文
    dong3580
    dong3580
    Dec 30, 2013 via iPhone
    19
    @anheiyouxia 你敢入侵和删除么,估计谁都没那个胆子,
    jianghu52
    jianghu52
    Dec 30, 2013
    20
    我们公司有个项目一直保持一个记录。0 bug，100%好评。
    不懂的人都惊呆了。懂的人第一句就是，是不是政府的。
    ayang23
    ayang23
    Dec 30, 2013
    21
    想当年还是做过一个被鉴定为国际先进的项目的，你懂得
    @jianghu52
    timothyye
    timothyye
    Dec 30, 2013 via Android
    22
    这类网站，能拿到就是靠关系，至于做，就更有水分了。质量很难保证。之前那个工信部的备案网站不是奇丑无比么？
    Kvm
    Kvm
    Dec 30, 2013
    23
    80%的人都不知道https这玩意有什么毛用
    momo5269
    momo5269
    Dec 30, 2013
    24
    都这样 - - 录入时候就被外包的破网站折磨过 只支持IE8 身份证验证有问题 界面更新导致数据需要重录 用户界面不友好
    Lelouchcr
    Lelouchcr
    Dec 30, 2013
    25
    http://www.chinatcc.gov.cn:8080/cms/shensus/
    我想说，我有次还查点在此zf网站上申诉。。。这port ，这icon ，不谈了。。。
    fox
    fox
    Dec 30, 2013
    26
    @Lelouchcr 看到了熟悉的………………猫
    Ricepig
    Ricepig
    Dec 30, 2013
    27
    我们有部分业务是这块，其实大部分政府还是认识到IT系统的重要，也分配了不少资源想把这一块做起来。总的来说，我个人把这类系统分成两种，一种是验收型，一种是使用型。验收型完全是拍脑袋决定上马，验收过了完全就没人去碰了。

    使用型的系统，一般来说最终都会做到能用，但是否好用就不一定了。其实也无需“呵呵”，实际上政府相关的系统能把功能做得满足他们要求是最终目标，安全性、性能、兼容性什么的，都是排在功能之后的。当你被奇葩功能折腾得死去活来时，很少会有精力再关注其他方面了。

    招标的要求其实并不虚，资质和业绩都是非常重要的。目前这种招标的方式，政府只能通过这些来了解对方公司有没有能力完成这个项目。其实类比到招聘上，你以前做过什么（业绩），你是哪里毕业的（资质）不都是招聘单位看重的重要的部分吗？怎么到了政府招标的时候就是“很虚”的东西呢？

    政府项目很多做不好，关系是一方面，另外一方面也和招标与验收机制相关。我们的团队正试图在这个“行业”做的和以前的公司稍有些不同吧。
    Ricepig
    Ricepig
    Dec 30, 2013
    28
    另外，我再黑一下。

    “没试过DEL，理论上应该可以把所有的数据删除。”

    实际上很有可能删不掉，出现各种“约束错误”，哈哈哈哈
    danzwl
    danzwl
    Dec 30, 2013
    29
    http://www.mos.gov.cn/ 大家看看这个网站啥水平
    learnshare
    learnshare
    Dec 30, 2013
    30
    我觉得，能在宽屏下居中的网站都是好网站。
    wheatcc
    wheatcc
    Dec 30, 2013
    31
    @fox 是啥程序？
    CRight
    CRight
    Dec 30, 2013 via Android
    32
    不能用现成的CMS，还要考虑安全问题。拍板决定的又不懂，能建成网站就不错了。
    Narcissu5
    Narcissu5
    Dec 30, 2013
    33
    做过政府的项目，两名开发人员伺候100多个工作人员。每个人都能提需求每个人都能给你脸色看，这种情况能把东西折腾出来就已经筋疲力尽了，安全性？我睡会儿先

    信息泄露的时候其实我还挺幸灾乐祸的，老大更强：这个问题我们找到了，是你们的问题，我们当然可以改，不过这个项目已经过了维护期了。。。。
    martinsu
    martinsu
    Dec 30, 2013
    34
    为什么做不好的原因是什么。我是这样想的：

    项目验收的人是懂技术的，可能技术还不错的，但还是会把技术不过关的项目通过。
    因为项目的施工单位是领导决定的，有利益输送。

    所以就出现了这么多的破网站。
    verfino
    verfino
    Dec 30, 2013
    35
    我想起了铁道部网站的那个证书......
    inet6
    inet6
    Dec 30, 2013
    36
    如果中移动也算政府平台的话，我也吐槽一下, N年前西部某省中移动，项目需要接入路由器，我们问用户名密码，然后甲方一脸茫然，啥用户名密码? 路由器还有用户名密码? 然后他开始打电话给设备提供商，把人家臭骂了一顿说当初怎么不告知用户名密码... 然后我们拿到了123456的密码...
    gamexg
    gamexg
    Dec 31, 2013
    37
    很正常，公安的办案系统在url里面加个' 直接把 sql 语句爆出来了。还好是内网的...
    anjianshi
    anjianshi
    Jan 3, 2014
    38
    @wheatcuican Apache Tomcat
    moonmv
    moonmv
    Dec 24, 2014
    39
    你懂的
    smallthing
    smallthing
    Apr 8, 2023 via iPhone
    40
    @verfino 铁道部证书挺好的啊
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1961 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 116ms · UTC 04:34 · PVG 12:34 · LAX 20:34 · JFK 23:34
    ♥ Do have faith in what you're doing.