C, PHP, VB, .NET

Мои познати имат уеб сайт, който е правен преди няколко години и от тогава не е пипан. Напоследък всякакви ботове им задръстват формата за коментари със спам. Помолиха ме да им сложа Captcha.

Аз Captcha сложих, но нещата, които „между другого“ поправих, направо ме потресоха:

• Всички коментари се появяват директно без какъвто и да е филтър. Съответно XSS атаки могат да се правят всякакви;
• От менюто информацията за това на коя страница се намираш се предава с GET, а после се прави директно include на стойността на този параметър. Съответно спокойно успявах да си добавям всякакви файлчета, при това не само от текущата, а и от всякакви директории на текущия потребител на уеб сървъра;
• Подстраници (content) от административния панел не правеха проверка дали потребителя е влязъл в системата;
• Имаше SQL Injection на формата за коментари при правенето на INSERT заявката;
• Формата за изпращане на e-mail можеше да бъде тотално зарината със спам. Беше я спасило случайна грешка на програмиста, от която тя… просто не работеше…

Естествено веднага проверих и административния панел за SQL Injection. Най-накрая някаква приятна изненада – точно там нямаше, използваха mysql_real_escape_string на потребителското име. Тръгнах да гледам как пазят паролата – има в таблицата в базата от данни колона „passhash“, до нея някакъв „secret“ – явно има SALT и е хеширана. Търсих, търсих, търсих да видя как точно се хешира, но интересното е, че никъде в кода нямаше и помен от такова нещо. Паролата от формата за вход се подаваше към една функция „userlogin()“ и… вътре не се използваше никъде. Не се използваше и в SQL заявката, която проверява за вярност на име и парола. И познайте какво – установих, че в административния панел може да се влезе с каквато и да е парола, стига да знаете потребителското име. От там може да се редактира всичко по сайта. Отделно в самия административен панел е пълно с всякакви XSS и SQL Injection уязвимости.

Мислите, че не може да бъде по-зле? Бъркате! Веднага отидох на сайта на това „дизайн студио“, което беше направило сайта. Самият техен сайт е направен на същата платформа, но явно са пооправили кода през годините, които са минали. По-грубите пропуски бяха поправени. Интересното стана когато отидох да им гледам сайтовете от портфолио – такива, които са правили за различни клиенти. Оказа се, че по-старите им клиенти са в почти същото положение. Черешката на тортата обаче беше когато попаднах (случайно, не съм преглеждал всичките им клиенти – много са) на един сайт на пицария, на който когато напишеш домейна/admin… направо влизаш вътре без да те пита за име и парола. От там може да се редактира менюто, да се променят цени и какво ли още не :)

Интересно, но факт – виждал съм доста хакнати сайтове и при повечето хакерите бяха използвали доста сложни схеми, за да пробият защитите. А в същото време продължават да съществуват стотици сайтове като споменатите, на които „портите им са широко отворени“ и никой не иска да ги хаква.

Името на „дизайн студиото“ и адреси на техните сайтове по обясними причини няма да ги спомена.