Ricerca in FOLBlog

[SdSM] Secondo Round

 Scritto da alle 14:00 del 21/03/2009  Aggiungi commenti
Mar 212009
 
closeQuesto articolo è stato pubblicato 8 anni 5 mesi 2 giorni giorni fa quindi alcuni contenuti o informazioni presenti in esso potrebbero non essere più validi. Questo sito non è responsabile per eventuali errori causati da questo problema.

Allora, ho gia’ detto del sito web di $noiguardiamoivostriinteressi e di come lo avessi “hackato” in una mezza giornata. Dopo l’avvenimento DaBoss aveva passato una buona ora fregandosi le mani e ghignando come un satiro, poi aveva passato un’altra buona ora al telefono con l’SL in questione.

Io avevo preparato una bella mail con i miei suggerimenti per rendere il sito piu sicuro ed avevo considerato il discorso chiuso.

Poi stamattina mi arriva una bella maillina da un tizio, che risulta essere il sedicente “web-programmatore”, il quale, sostanzialmente dice “il tuo lavoro ha fornito diversi spunti, nonostante cio non ho implementato tutti i tuoi suggerimenti perche’ yada yada yada ma sono confidente che adesso i problemi sono risolti e non riuscirai piu a fare altri danni“.

Hummm… ma e’ una sfida o cosa? Domando a DaBoss.

DB – Ah si? E cosa ha fatto esattamente al sito?
IO – Non ne ho idea, spero che abbia aggiunto dei controlli seri all’input e rimosso quella chiavica di Javascript, ma qualche cosa mi fa pensare che non lo ha fatto. Comunque, cosa devo fare?
DB – (con ghigno satanico) Vai ed ammazza!

Cosi’ ritorno a guardare quel coso. Ok, il tipo sembra aver aggiunto qualche controllo lato server, ma il Javascript e’ ancora li’.

Va bene, e’ il momento di mettersi il cappellino nero.

C’e’ una funzione nel sito che consente di inserire un “profilo utente”, a questo profile c’e’ una fotografia annessa che puo’ essere uploadata dall’utente.

Provo ad uploadare una foto e la foto finisce in http://noiguardiamoivostriinteressi/images/.

Ok, cosa succede se provo a fare l’upload di un file che non e’ una immagine? Niente di eclatante: viene uploadato. E se io faccio l’upload di uno script in quella directory e lo richiamo via browser? Lo esegue!

Come pensavo. CL (il sedicente programmatore), continua a fidarsi di quello che l’utente inserisce e continua a fidarsi del suo schifoso Javascript per il controllo dei dati.

E’ il momento di ricordarsi come si programma in ASP. Dopo aver smadonnato per un bel 3 ore ed essermi andato a rileggere i miei stessi articoli al riguardo, metto insieme un paio di scriptini che sono uploadati.

Dopo essermi scaricato il codice sorgente di tutto il sito (non si sa mai), ed il database degli utenti, cambio la password dell’utente “admin”, mi stampo l’elenco degli utenti con le loro password (password in chiaro eh) e quindi creo uno script che mi consente di perlustrare in lungo ed in largo l’intero server.

Mentre sono li che penso che altro posso combinare arriva DaBoss.

DB – Allora, come andiamo con l’hacking?
IO – Che ti sembra questo?


Tables
MSysAccessObjects
MSysAccessXML
MSysACEs
MSysObjects
MSysQueries
MSysRelationships
tAccount
tArtikel
tArtikelType
tAutorisatieNiveau
tFacturen
tGefRechtsHulp
tGeslacht
tProfessional
tRol
tSectie

tAccount
nId
strLoginNaam
strWachtWoord
fkAutorisatieNiveau
strNaamOrganisatie
fkProfessional
strNaam
strTav
strFactuurAdres
strFactuurPostcode
strFactuurWoonplaats
strTelefoon
strFax
strEmail
strWebsite
bAccAlgemeneVW
bNieuwsBriefAbo
bActief
dtInschrijfDatum
mNotitie

admin AT admin.nl GuessWhat
jmgm.appel AT gmail.com test
info AT jurofoon.nl test
mark AT springvorm.nl klopklop
groetjes AT fromhollandwitlof.nl testen
vanwordragen AT arbeidsjuristennederland.nl wawawa4

DB – Quelli sono gli utenti?

IO – Sono gli utenti, con le loro password.

DB – (sempre fregandosi le mani) benebenebenebene… prepara la solita mail che adesso ci divertiamo… hehehehehe…

Vorrei sbagliarmi, ma mi sa che DB ha fatto una qualche scommessa con SL…

Davide

legenda personaggi

Technorati Tags: Storie dalla Sala Macchine,humor

Articoli simili:

  • Facebook
  • Twitter
  • Delicious
  • StumbleUpon
  • Wikio
  • Reddit
  • Technorati
  • Segnalo
  • Live
  • Add to favorites
  • Email
  • RSS

 Lascia un commento

Puoi usare questi tag e attributi HTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

(richiesto)

(richiesto)

Pinterest
EmailEmail
PrintPrint
%d blogger hanno fatto clic su Mi Piace per questo: