特朗普竞选团队刚刚启动的DontTouchTheGreenButton.com网站发生了选民数据泄露事件。

遭泄露的数据包括选民姓名，地址和唯一标识符。有报道称该网站存在SQL注入漏洞，所以黑客可以收集选民的SSN和出生日期。

上周末，特朗普竞选团队在亚利桑那州提起诉讼，指控马里科帕县（该州人口最多的县）错误地拒绝了选举日当天一些选民的投票，要求对此进行人工核查。

而后，该团队建立了一个网站（DontTouchTheGreenButton.com），旨在从在投票站遭受错误拒绝行为的选民中收集证据，以证实诉讼指控。

该网站要求选民提供个人信息，例如姓名和地址，电话号码，电子邮件地址，出生日期以及社会安全号码（SSN）的最后4位数字，并回答多项选择题。

为了限制其他人，保证仅让马里科帕县选民发声，该网站允许用户“搜索”姓名并自动填充地址，如下所示：

鉴于选民记录已经是公共信息，所以任何人都可以查找此信息已经不足为奇。但其实，这存在明显的隐私问题。而且，该网站使用的API可能使得大量抓取选民信息。

如果在提起诉讼后相当快地启动了该网站，这个“紧急设置”会充满数据泄漏和SQL注入漏洞。

BleepingComputer发现有人利用Algolia REST API从服务器中提取了数据。请求中公开的API密钥和应用程序ID，可以使任何人以编程方式运行查询的方式从服务中批量获取投票者数据。REST API返回的JSON数据默认，包含5个投票者姓名和地址的列表，以及基于搜索查询的唯一标识符（例如投票者姓名的前几个字母）。

从理论上讲，可以通过将上面显示的hitsPerPage值更改为更高的值来进行自动查询，以下载选民信息，然后针对不同的多字母组合重复执行此操作，直到抓取整个数据集。

此后，用于检索选民信息的API已从DontTouchTheGreenButton.com网站上删除。

此事件标志着今年第二次与选民注册数据有关的API泄漏事件。

今年早些时候，拜登（Biden）竞选活动的“Vote Joe”应用程序使用的API被发现泄漏选民数据。

在启动诸如此类关键任务网站时，最好是进行彻底的安全评估以保护用户数据和隐私。

参考来源：

https://www.bleepingcomputer.com/news/security/trump-lawsuit-site-to-report-rejected-votes-leaked-voter-data/

声明：本文来自FreeBuf，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。