关于电子监管码的安全问题讨论

陶洋

不知道大家有没有考虑过电子监管码在上传，下载，印刷及使用过程中会涉及的安全问题呢？
一种特别极端的考虑，你的药品很有市场价值，有一些做假药的想利用你的监管码来进行假药制作，这就需要对你的电子监管码进行获取。那么他获取的方法就有如下几种
1、A进你进行电子监管码申请使用的电子计算机系统，然后获取你的电子监管码文件，自行进行印刷。
2、你的电子监管码应该是去印刷厂进行变码印刷，那么你是如果给印刷厂的呢？是否是网络传送，如果是网络传送那会涉及的就是你们使用的邮箱有可能会被A进去，然后得到你已经解密好的文件。
3、为了保证和你生产的品种一样的监管码，那么有可能对你的电子监管码系统进行攻击，首先可以说目前好多企业都是使用的网络服务器来进行多条线体的同时使用，这方便了生产，但是带来的就是你的服务器数据库会被A进去，这样你生产的所有品种都给了别人了。
4、在你上传的过程中会被截取到。

这只是一种极端的考虑，不知道大家有没有兴趣讨论一下？呵呵。欢迎大家讨论并给出一定的解决方法。
有这样的想法是因为发现我们使用的电子监管码系统，在使用的界面有一些SQL注入的安全问题，可以得到ADMIN表里面的信息。另外使用的SLQ数据库的默认设置也不够安全。同时对使用的服务器可以说是根本没有设置，使用的也只是WINDOWS的服务器默认设置，因此对于一个有想法的安全人员都会很容易进入的。

皇后

这是纯技术贴呀

sunwng

黑客们上

吧唧吧唧

好吧，很多计算机名词我都不认得，楼主是计算机专业的吧？感觉我们群正缺少这种人才呢，加油

一剑靖宇

电子监管系统，不会这么容易的被攻击吧！

红茶.

1.人家想偷怎么都能偷，药店买一盒抄个码上去，几万盒都用这个码，类似假钞都是一个码。
2.在赋码关联前他怎么偷都没用，key盾在你手上，他手上再多的真码却没有办法与批号进行关联并完成上传。
3.完成赋码关联后的数据安全是个问题，关键在key盾。我没试过拿其他公司的key盾来上传自己公司的数据，不知道这样行不行。
4上传过程被截取到很有可能，关联可以用局域网，上传怎么都是互联网。但是这个截取对他自己有什么好处？首先你已经上传完了，中途如果出错还能继续上传直至成功。其次它拿这个数据库去一对一造假应该成本相当高。
5.目前这个时候，与其攻击企业，不如直接黑掉药监网。使用过程中发现问题多多，漏洞多多，稳定性差。类似铁道部的网站，钱扔进去不少，那个效果。。。。。。

丹参

这个不用担心吧。
1、基药的品种，没有必要花哪么多心思来造假，赔钱。
2、高风险品种的，企业还会有其它的管控措施，单独电子监管码的仿造也不行。

{:soso_e113:}

陶洋

acmilanhm 发表于 2013-4-13 09:45
1.人家想偷怎么都能偷，药店买一盒抄个码上去，几万盒都用这个码，类似假钞都是一个码。
2.在赋码关联前他 ...

那个Key盾只是在你解码的时候才有用处，这个都是可以在你解码完成以后再进行获取，因此Key盾原理上是没有什么大用的。

陶洋

我想大家都没有理解我讨论的问题，首先我想说的是，电子监管码目前的做用是什么？我理解的就是用来保护药厂，如果人家怀疑是假药，你一查发现我没有这个码，那你可以说明你这个不是你生产的，但是同样的，如果这个码被查出来了，对你 的企业是一个很不好的事情 ，不是么？因此在电子监管码以后会全面打开的这个趋势上来说，这些个安全问题以后肯定会是一个企业中不可少的面对的问题。
比如说：丹参滴丸吧，如果有一个伪造企业通过一系列的方法得到了他的电子监管码某一个批次的所有关系，然后他使用数据库中数据唯一编号的这种方式可以对其进行剥离出一级，二级三级这些码，然后去进行包材印刷。
之后进行生产，生产完成后，在进行他都不能进行后面的关联关系的操作了，就直接进入了市场，这个时候一个用户买到了这些进入市场的假药，然后去反馈，结果厂家拿出电子监管码进行查询，无论如果查询都查出来的是属于其企业的，因此只能认为这个是他生产的了。于是开始对市场的偏差进行分析，最后肯定是有问题啊，
之后呢，是否进行召回？如果进行大面积的召回那对企业的影响那是无法进行估计的。
这其实是看你怎么去理解这个问题了，感觉上是一个不大的问题，或者觉得没有用，但是如果是高利润价值的东西，这个就可以说很严重了

陶洋

关于电子监管码企事业是否攻击的脆弱，这个我想说的就是，很脆弱。首先是他们的系统只是一个本地的网站系统，其代码也没有做一些安全方面的处理。
记得我们第一家电子赋码系统是嘉华的，他们网站就很脆弱，然后是他的们系统我在本地进行了SQL扫描，只是一个自动化工具的扫描就可以得到权限的密码，进入SQL数据库。
第二厂家是爱创的，其系统一样存在相同的问题，另外就是爱创的公司提供我们的服务器支持，但是其服务器的安装一切都是默认，这对于一个专业公司来说太不专业的，就我一个业余的选手也不会这么配制服务器的，同时就是他使用的系统还都是windows呢，个人觉得安全性太差，同常这样的数据库服务器最好应该使用阿帕奇来做服务器啊！

hemigua

谢谢分享。。

红茶.

mmorpheus 发表于 2013-4-13 19:47
那个Key盾只是在你解码的时候才有用处，这个都是可以在你解码完成以后再进行获取，因此Key盾原理上是没有 ...

没有key盾，即使有用户名和密码，但你连药监网那个程序都登陆不了，

陶洋

acmilanhm 发表于 2013-4-13 20:42
没有key盾，即使有用户名和密码，但你连药监网那个程序都登陆不了，

你根本没有理解我说的概念。你的key盾只是保证了 不能登陆你的平台，仅此而已，但是在你下载完成解码以后，是有很多机会的。比如说你的电脑里有个远控程序，你没有发现，你解码以后的文件放在哪里？还有你转移的过程中使用U盘么？你知道U盘中可以被值如自动上传代码么？写出来不过几k的大小，这些过程你的key盾可以有用处么？

lgang04

不知道还有这个！

红茶.

mmorpheus 发表于 2013-4-16 21:16
你根本没有理解我说的概念。你的key盾只是保证了 不能登陆你的平台，仅此而已，但是在你下载完成解码以后 ...

你也没明白我的概念。

就算在下载完码到上传管理关系到药监网中间这个过程，被人偷了一千次一万次。所有的码全在人家手上了，他自己做假印点盒子，自己包装自己关联，他手上没有key盾，他怎么上传到药监网里去呢？不要以为下载码要keyd盾，上传数据的时候就不要key盾了。

如果他不上传，偷这些数据有什么用？随便去药店买两盒，直接抄上面的码拿去做假就是。反正前面几位是定死的，后面几位是随机码+验证码，他做出来的码或者是偷出来的码在药监网上查询都会显示是假的。

陶洋

acmilanhm 发表于 2013-4-17 08:46
你也没明白我的概念。

就算在下载完码到上传管理关系到药监网中间这个过程，被人偷了一千次一万次。所 ...

这个方面我想是我们的沟通上有了一些不明白的地方。我的举例是可以方便进行大范围程度上的伪造。
为什么要去下载已经解码的，而不去考虑上传的KEY的问题，是因为他不需要了，已经有厂家给他上传了，如果在进行猎取的过程中得到的是已经关联好的码那就真的可以大范围的进行伪造了。而且同时不会因为码的大面积重复造成假的太容易被发现

红茶.

mmorpheus 发表于 2013-4-17 20:40
这个方面我想是我们的沟通上有了一些不明白的地方。我的举例是可以方便进行大范围程度上的伪造。
为什么 ...

1. A公司是否可以上传B公司的药品关联关系？哪家正规企业干这事想找死？

2. 用关联好的监管码造假成本会多高？想过没有？自己公司拿着一批的关联关系重新包装一批，你看会有多少出错的？会耗用多少人力物力时间成本？

陶洋

楼上的，这只是一种模拟攻击方式 的讨论。就如你说的，其实如果你去计算的话，成本并不高。
我举个例子，希望大家讨论
攻击方式：远程
计划描述：随便去找一个这方面的人去做一次入侵，价格只在500不到。入侵的方式就是简单的入侵目标网站的主机，并提供远程木马的种植。
成功概率：100%
成功以后：当你成功的植入了远程木马以后，你会发现，你其实就是在操作你自己的计算机。然后大概1000左右可以找到人进行APT攻击 或者是一些渗透方面的操作。成功了以后你就可以一直去控制对方的SQL服务器。因为只是一个数据的导入导出，根本没有成本了。
成功以后，对于监管码操作方面来说，其它的就没有费用了。
监管码导出以后的数据格式是用flag进行标识的，可以使用SQL语句进行选择，然后直接分级别导出。
导出以后可以进行变码的印刷，就我们公司来说，其印刷成本与之前的成本每个小盒只提高了1分钱左右。
印刷完成以后就和其它的生产方式一样了，进行包装等等，成本未进行增加。
最后就是一些渠道进入市场。
我不太明白这些东西的成本应该不大吧，但是对于目标公司的影响是很大的。不是么？

jrzfs

基本药物没人会去做的，再说了，也没利润，很少有人去冒险

月华翔天

这个  可真是  有技术的  假药  
造假造到这个地步   还不如  自己去生产真药了