THIS VULNERABILITY WAS PATCHED 3 or 4 months ago.
No confidental payment data was accessed.

Let’s see what this is about: A badly sanitized parameter permited an sql injection, thus full access to all the database.

In the picture bellow you see the names of the databases :

In the syntax I concatenated the username, email address, account balance, password, customer id and last name. The passwords are crypted but can be easily decrypted.

For confidentiality reasons I’ve blurred some of the characters from the password and email. Highlighted with red you will see the Linden™ ammount in one of the accounts.
One single query would return over 10.000 lines of results per page, so all of the 6 milions accounts could have been saved in 600 queries, in a few hours. (6 milion active accounts, the total accounts number being much higher)
Besides the user database there was also a table named log_credit_card, see for yourselves what the column names were :

——————————————————————

Aceasta vulnerabilitate a fost securizata acum 3 luni.

Ce este second life? Pentru cei care nu stiu, va explic.

Second Life este o lume virtuala 3D construita si detinuta in exclusivitate de catre rezidentii ei. Din anul 2003, de cand s-a deschis a avut o dezvoltatare, o crestere exploziva fiind locuita astazi de aproape 6 milioane de oameni de pe intreaga planeta. Un joc pentru care sa traieste. Un joc pentru care se moare. In 2007 soca lumea intreaga o stire, ca un tanar a murit in fata calculatorului jucand secondlife, din simplul motiv ca nu s-a ridicat de zile intregi sa manance si sa bea lichid. Un joc, care e ca si un cerc vicios, odata intrat, greu mai poti iesi, greu te mai poti lasa. Un joc unde fiecare poate fi oricine. Oricine, cine nu reuseste sa fie in viata reala, in viata de zi cu zi. Iti poti realiza visele si tot ce n-ai reusit in viata reala. Imaginatia nu are limite. Vrei sa fii cel mai bogat om de pe planeta, fotomodel sau un cantaret indragit? Vrei sa ai toate bogatiile pamantului: palate, yahturi, avioane, etc? Nimic mai simplu: joaca, incepe de jos, incepe de la zero. Joaca mult. Zile. Luni. Ani. Construieste, aduna dolari Linden™ (L$), prin care sa-ti cumperi toate astea, ca si in viatza reala. SAU …si acum vine partea cu SAU. Sau cumpara-ti dolari Linden™ (L$) cu dolari adevarati. Putini isi pot imagina valoarea acestor tranzactii. De aceea voi cita de pe site-ul jocului, sectiunea The Marketplace. Cititi cu ce se lauda firma(traducerea este aproximativa , mai putin la versiunea in limba engleza):” unul dintre cele mai spectaculoase aspecte ale second life este deosebita lume a afacerilor virtuale. Second Life are un intreg sistem economic implementat bazat pe abilitatea rezidentilor de a cumpara si vinde propriile creatii virtuale. Cu aprox 35 mil usd utilizati si schimbati intre si de catre rezidenti lunar, economia SL a crescut pt a deveni una din cele mai prospere economii virtuale generate de catre useri.”
Aproximativ 35 milioane USD lunar X 12 luni …peste 400 milioane dolar pe ani. Da, ati citit bine. Si un site de asemenea anvergura, cu asemenea incasari nu este capabil sa-si securizeze baza de date. Datele de logare, datele personale a milioane de useri puteau fi vazute, extrase, salvate si folosite de oricine.

DATELE CONFIDENTIALE DE PAYMENT NU AU FOST ACCESATE.

Sa vedem despre ce este vorba concret. Un parametru prost sanitizat a permis un sql injection, prin urmare full acces la toata baza de date.

In poza se vad denumirile bazelor de date:

In sintaxa am concatanat username-ul, adresa de email, banii din cont, parola, customer id-ul cat si lastname id-ul. Parolele sunt cryptate dar pot fi decriptate relativ usor.

In poza din motive de confidentialitatea am blurat cateva caractere din adresa de email si parola. Intr-una din conturi, unde e incercuit cu rosu se vad Linden™ -urile.
O singura interogare afisa peste 10.000 de linii de rezultate in pagina, asa contul celor 6 milioane de useri ar fi putut salvat din 600 de interogari, doar in cateva ore. (6 milioane conturi active, dar in total mult mai multe)
Pe langa baza de date a userilor mai era un tabel interesant, denumit log_credit_card , vedeti voi ce coloane are:

Related Posts

• February 23, 2011 -- Concurs fara premii
• August 30, 2010 -- Deface (?!?) pe Cotidianul.ro
• April 21, 2010 -- France2.fr – France4.fr – in asteptarea atacului?
• December 24, 2009 -- Forumul Andreei Balan spart
• December 22, 2009 -- Fun cu NemoExpres.ro