BLACKHOLE.sk

Povodne mal byt tento blog vydany pocas vianoc 2008 ako Recept na web sajty II, kde som sa chcel zamerat na sk/cz weby a velmi caste chyby, cez ktore sa da dostat do administracie. Chybnych sajtov som vsak nasiel tolko, ze ma omrzelo vypisovat si s adminmi, vsetkych upozornovat a cakat na napravy (medzi nimi bola i jedna znama televizia, znamy web poskytovatel, s ktorym som si uzil vela zabavy, ci tvorca redakcneho systemu, ktory bol zabugovany :))

Po vsetkych tych natahovackach som sa vsak rozhodol, ze napisem iny, zaujimavejsi blog, kde nebudem rozoberat jednotlive bugy, ale poukazem na zranitelnost sajtov a reakcie dotknutych ludi.
Obcas si zvyknem na profesii pozriet nejake tie zaujimave pracovne ponuky, ale vzdy sa vytocim tym, ze skoro nik neuvadza ani len pribliznu platovu hladinu, ktora by vo mne vzbudila prirodzeny zaujem a mozno by som sa prekonal a zasiel aj na pohovor :). A tak to vlastne zacalo.
Jedneho dna som objavil zaujimavy inzerat od pomaranca, kde ponukali pracu unixoveho admina. Orange je velka spolocnost a k tomu telekomunikacna... Kolko tak asi mozu zarabat? Tak som im napisal mail, v ktorom som nacrtol nieco zo svojich skills a rozhodol som sa pridat aj nejaky ten testik ich webov :).
Ako si tak prezeram ich sajty, zrazu som to nasiel :)...

Viaaanoceeee salala....
Toto mi normalne vyletelo z ust, nakolko som bol po sviatkoch uplne zblbnuty z tych reklam v TV. Po chvilke som si uvedomil, ze je to ale reklama od konkurencie :)

Tak nejaky ten XSS pre zaciatok. Ukazky z administacie jedna, dva, a tri. (okrem tychto sajtov sa bug nachadza aj na inej stranke, sreenshots vsak neuvadzam).
Dalsia "chybicka" sa nachadzala priamo v redakcnom systeme stranky :).
A odtialto orindzaci robia recenzie :).
Taka perlicka: V case, ked som sa im pozeral na zubky, mali v databaze presne 1064 vulgarizmov, na zaklade ktorych automaticky recenzovali prispevky :). Tak napr.:
pic, p*ic, p ic, p*i*c, p i c, pi*c, pi c, kokot, k*okot, k okott, atd...

Heh, chyby som objavil, dostal som sa do administracie, a tak som im pekne napisal mail. Samozrejme na druhy den sa mi ozval pravdepodobne personalista, ktory ma uistil, ze informacie o platovych podmienkach mailom neposkytuju a zaroven podakoval za upozornenie na chyby ich portalov. Dalo sa to cakat... No stale nechapem, preco neprezradia aspon nejake cca.(Ak mate nejake info o vyske platov v pomaranci, mozete prispiet do diskusie pod blogom.)

Az po mojej druhej urgencii, ci mienia nieco robit s bezpecnostou stranok, sa mi ozvala nejaka "IT proficka", ktora mi podakovala a prezradila, ze info o bezpecnostnom probleme dostali az na druhy krat (t.j. az po 5-tich dnoch od prveho upozornenia. pekny bordel...). Vraj kolegovia problem uz riesia... No riesia to nejako pridlho, pretoze od vtedy prebehlo uz nejakych 6 dni :). (ci uz problem odstranili uplne netusim. neoveroval som to. Mali vsak dost casu na zaplaty).

Ked uz som takto pochodil u pomaranca, moj zaujem prirodzene smeroval aj ku konkurencii...

Viaaanoceee salala.....
Tak a teraz som si konecne mohol zaspievat tu priondenu pesnicku, kde nejaka kocka pobehuje s mobilom :). I ked nie celkom t-mobile, ale aspon t-com, co je pri zavreti oboch oci to iste :).

Aj ked nie nejaky otrasny bug, ale dalo sa aspon popozerat na zdrojaky t-comu. A zrovna na stranke, ktora sluzi na informaciu o vypisoch pre uzivatelov. Na priklade vidno, ze cosi nie je v poriadku. Ano, po zobrazeni zdrojaka stranky vidno nieco taketo:

Application version 9.X
Page version 9.01
Author: xxxx yyyyyyy
Last update: 25.2.2005 // dost stary kod, pravda?

username=3Dlcase(trim(Request("username")))
Session("USERNAME")=3Dusername
password=3Dtrim(Request("password"))

if lcase(Session("username"))=3D"vypis" then
Session("USERNAME")=3D"vypis"
Session("PASSWORD")=3D"vypis"
end if

atd...

Po upozorneni o bugu, ludia z t-comu odstranili nedostatky do druheho dna. Oficialne podakovanie za upozornenie prislo o 3 dni.

Co sa vlastne stalo? Kde su ti IT odbornici? Moze za to sucasna hospodarska kriza, alebo som len ocakaval profesionalnejsi pristup? Neviem, ci si vobec zodpovedni uvedomuju, ako krasne sa im daju upravit stranky, co vsetko sa da vyviest uzivatelom, ktori stranky navstivia.

Na zaver by som rad nadhodil temu do diskusie. Ma vobec niekto pravo hladat chyby na weboch a potom este drzo na ne upozornovat? Alebo je lepsie chybu najst a nechat si to pre seba. (ved mozno sa to zide...). A co dotknuta strana? Ako sa ma zachovat? Teda podla mna je samozrejmostou slusne podakovat a snazit sa chyby co najskor odstranit. Ale mam skusenosti, akoby sa admini/koderi hanbili kontaktovat cloveka, ktory ich na bug upozornil, hoci som vzdy svoje upozornenia zakoncil niecim ako "v pripade problemov pri odstraneni chyby ma nevahajte kontaktovat". A ked mi potom niektori s velkou pompou oznamili, ze bugy odstranili, obratom som ich vyviedol z omylu....

P.S.: Tento blog som povodne uverejnil tu na bh 19.1.09, ale z osobnych dovodov som ho musel na cas stiahnut. Tymto sa ospravedlnujem krymovi, ktory sem prvy postol koment.