携程信用卡信息泄露的五个基本问题，别拿PCI DSS说事！

携程信用卡信息泄露事件昨日曝光后持续发酵，由于携程用户数量巨大，且在在线旅游业OTA行业树大招风，各路好汉番茄鸡蛋一起招呼，使得此事件大有闹剧化和狗血化趋势。一些不明真相的群众受到别有用心的煽动，开始对用卡安全产生担忧，以下安全牛不代表任何一方利益，仅仅摆一摆几个基本事实和问题：

一、在乌云平台上曝光的携程漏洞是什么？

携程用于处理用户支付的安全支付服务器接口存在调试功能，将用户的支付记录用文本保存了下来。同时因为保存支付日志的服务器未做校严格的基线安全配置，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意黑客读取。

谓遍历通常是指沿着某条搜索路线，依次对树中每个结点均做一次且仅做一次访问。这一被归类为“敏感信息泄露”的漏洞，被指可能导致大量携程用户的信息曝光，包括：持卡人姓名身份证、银行卡号、银行卡CVV码、6位卡Bin等非常敏感的内容。

二、漏洞产生的原因，是开发环节安全管理事故？

关于漏洞产生的原因，携程官方的解释为：技术开发人员为了排查系统疑问，留下了临时日志，因疏忽未及时删除。不过MediaV公司CTO胡宁通过微博批评称：“数据传输为明文，且线上竟长时间打开调试功能，导致系统日志中亦为明文，又未及时清理，所存储的服务器还有安全漏洞”。

而据腾讯科技报道，知情人士透露携程此次用户信息泄露事件可能是无线研发推进过快而变相导致的。

某 互联网上市公司CTO接受媒体采访时表示，不管是App还是Wap或Web，都只是产品的前端表现形式，所调用的数据源必然只有一个。新产品的上线流程一般是 “开发机