Citeam la Orlando pe blog ca Elvila a platit 600000 euro pe noul lor site. Si am intrat din curiozitate sa vad cum arata, cum se mişcă, cum e făcut etc. Ce am văzut m-a oripilat:
- SQL injection
- More SQL injection
- Inclusiv amărâtul de search suferă de SQL injection
Evident bugurile sint de design de cod. Securitate zero absolut. Si in condiţiile astea nu vad de ce cineva ar avea curajul sa comande de la ei ceva online.
Cum mama dracului sa plătească cineva 600000 euro pentru o mizerie ca altfel nu pot sa-i spun , care poate fi data jos la orice ora de către un script kiddie de 8 ani ? Aloooooooo Elvila . Mă aude cineva ? ĂŢI ARUNCAT BANII PE FEREASTRAAAAAAA.
Citi programatori au lucrat la site? 5? Cit timp? 5 luni.
Recomandarea mea ar fi sa treacă site-ul offline a.s.a.p si sa treacă RAPID la un audit de cod. Este INADMISIBIL sa trimiţi parametrii într-un query sql fără nici un fel de verificare. Incă sint şocat de suma plătită. 600000 Euro ? Un site de 300E făcut de un căminist in 2 nopţi e mult mai secure ca ăsta.
*half joke* Elvila: vreţi sa va auditez/securez site-ul ? 60.000E va costa. Ca sa păstram proporţiile. */half joke*
Apropo… Pina si cart-ul are 0 securitate . Foarte drăguţ … sql inclusion pe INSERT si UPDATE . Asta ca sa facă treaba kinderilor mult mai uşoară…
Bănuiesc ca si restul de cod e scris tot aşa.
Parca am mai spus-o (sau am intentionat), intr-adevar, cele semnalate sunt de toate jena insa, de aici pana la “pus site-ul jos” e ceva cale… nu prea poti exploata acele bug-uri pentru ca, din fericire/pacate, mysql_query nu permite query-uri multiple. E drept ca, cu o asa grija fata de cod, probabil s-o gasi pe undeva un bug exploitabil, insa nu prea vad (nici nu am analizat prea mult) ce ai putea distruge folosindu’te de acele query-uri.
600 de mii oaaau
plus nu inteleg cat de prost sa fii sa ei toate variabilele care iti vin prin get sa le pui in sql
oare la firma care la facut daca vroiam cu mode rewrite sarea de milion?
plus dns facut prost daca nu ii pui www in fata nu stie de el (imi miroase a server dns pe windows)
Nu am dat exemple care sa fie exploatabile la prima vedere. Asta e o chestie care nu se face si nu o voi face. Poate am sa revin cu detalii după ce rezolva băieţii problema.
Victor: N-am intrat in subtilităţi gen SEO subtilitati gen mod_rewrite sau lucruri faptul ca elvila.ro pointează de fapt către www2.elvila.ro iar pagina index.html e făcută cu microsoft word 9 , pe un windows 2000 , de către utilizatorul “A” din compania “Elvila” si e la revizia 3 a documentului ) , sau ca index.html e salvat din “internet-mail”. Astea sint chestii minore …
lol
esti chiar nesimtit daca iti pot spune asa
acum eu nu inteleg ce este cu moda asta
daca imi dai eroare iti dau stringu de sql
exibitionism in toata regula
Spălare de bani. 🙂
Eu i-as zice spalare de creiere. Ca a spune spalare de bani fara dovezi …
Comments are closed.