Kategorie: Hacking

Hack e-shopu RockFashion.cz | SQL Injection

Osobní data tisíců uživatelů jsou vydána napospas internetovým obchodem ROCKové módy. Chcete víc?

rockfashion hack

Autor: KdoSiOdJinud | Vydáno: 2.1.2011 13:28 | Přečteno: 18212x | Komentářů: 0

SQL Injection

Na tento typ průniku do citlivých dat na webech je náchylno velké množství stránek. Jsou to e-shopy, stránky sportovních klubů, školy, ale i stránky politických stran. Využitím těchto zranitelností se útočníci mohou dostat i k velice citlivým datům, jako jsou čísla účtů, adresy, mobilní telefoní čísla klientů a mnohdy ještě zásadnějším věcem. Proč si tedy administrátoři webů nenechávají web před spuštěním například zkontrolovat?

Defaultní hesla

V poslední době (čas svátků a vánoční nudy :-) jsem se podíval po několika webech, některé z nich byly větší s hodně informacemi, jiné byly malé s prakticky nulovou informační hodnotou. Co mě však hodně překvapilo je fakt, že prakticky na každém webu s přihlášením byl "testující" učet. Je to účet, který administrátor / kodér vytvoří při tvorbě stránek. Na tomto účtu pak zkouší všechny možné vlastnosti webu, testuje tak správné zobrazení pro daná privilegia jednotlivých uživatelů a nebo třeba právě objednávky. Tento účet (jelikož je zřizován v době kdy na webu nic není) nemá obvykle silné heslo, programátor chce účet jen na testování tak si heslo zvolí jednoduché, co rychle napíše a navíc si ho bude pamatovat i za dva nebo tři roky. Super, ale co když tento účet po dokončení webu nesmaže a nechá ho s plnými právy v databázi?

Nejčastější "testovací" loginy na které jsem narazil při testování

Username Password
test test
pokus pokus
admin heslo
admin admin
jmeno heslo
jmeno tvůrce jmeno tvůrce

Docela děsivé je, že tyto výsledky jsou z 13 webů, což znamená, že prakticky polovina webů má lehce uhodnutelný učet s plnými právy!

RockFashion.cz

Tento web trpí hned na několik chyb, díky kterým není problém být během pár minut přihlášen v administraci a měnit cenu zboží (k ničemu takovému NIKOHO nenabádám). Chybu jsem administrátorovi nahlásil a doufám, že bude brzy opravena - neuveřejňuji zde přesný způsob získání práv administrátora, neboť chyba v době vydání článku nebyla ještě opravena.

Screenshoty hacku

Komentáře rss

Pokud hledáte službu či máte dotaz mimo téma článku, využijte prosím sekci Nabídky / poptávky.


Nebyly přidány žádné komentáře.