Promonet.cz - stále děravý systém, kredity zdarma a já už končím + aplikace
Začátkem roku jsem psal o chybách, díky kterým se na účty uživatelů reklamního systému promonet.cz mohl přihlásit kdokoliv bez znalosti hesla. I nezkušenému jako jsem já tato záležitost zabrala pár vteřin. Po upozornění na chyby administrátoři zapracovali a po některých chybách se slehnul web :o). Bohužel ne po všech...
Jaké chyby v systému byly?
- v přihlašování mysql injection
- v názvech bannerů a u textových odkazů xss
- po loginu přiřazeno id, dále není třeba heslo > změna id v cookies = cizí účet
Chyby které jsou již opraveny
- přihlašování
- xss na většině míst webu (stále ale ne všude)
- hesla v cookies > nahrazeno sessions
Proč toto vlastně píšu?
Jsem překvapen a v údivu, že mnohdy jsou to triviální chyby a správci webu nejsou schopní je opravit. Neříkám nic o neprůstřelnosti - kdo čte můj blog už déle určitě ví na co narážím, ale na promonet.cz jsou díry nehorázného kalibru.
Koupil jsem si kdysi 1 000 000 kreditů, prodávám!
Má však cenu prodávat něco co ostatní mohou mít zdarma, exituje způsob jak si kredity přičítat - toho využíva tato utilita (utilita na žádost stažena). Koupil jsem 1M kreditů za 150kč - byla to chyba.
utilitka
Odkazy:
http://www.kdosiodjinud.cz/hack-promonet.cz-jsou-vase-kredity-v-bezpeci-aktualizovano.a48.html
Autor:  KdoSiOdJinud / Jan KuthanVydáno: 2.5.2009 21:58 Přečteno: 2967x |
Promonet.cz - děravý systém, kredity zdarma |
.jpg)
Komentáře
Nebyly přidány žádné komentáře.