Vulnerabilidade no PHP NUKE afeta o PortalJava

Eu daria um chute que mais de 40% de site feitos com ASP tem problemas com SQL Injection.

Incrivel como o phpnuke eh bugado… o historico dele eh catastrofico… Outro programa que me vem a cabeca eh o wu-ftpd… uma vez um cara postou na bugtrag assim:

wu-ftpd: since 1994 giving root access to us.

:mrgreen:

Rafael

Olá

Quem gosta deste assunto deve ler: http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=507

Vale a pena, é divertido.

[]s
Luca

Já “se aproveitando-se” do gancho. Que diabos é SQL Injection?

Melhor artigo que eu ja li sobre o assunto ateh hoje:

“cv”:

Melhor artigo que eu ja li sobre o assunto ateh hoje:

http://fishbowl.pastiche.org/2003/11/10/ahov_2_sql_injection

Até.

Exemplo clássico de SLQInjection:

Colocar

' or '1'='1

ou

' or '1'='1'

em campos ‘Usuario’ e ‘Senha’ em muito sites ganhar-se-á (!) acesso.

Se o desenvolvedor não tratar aspas e aspas-duplas, esse pequeno exemplo funciona.

Imaginem a seguinte query:

SELECT * FROM tUsuarios WHERE ID = ' + userInputID + ' AND
PASSWORD = ' + userInputPassword + '

Dessa maneira, a query com os dados ficaria

SELECT * FROM tUsuarios WHERE ID = '' or '1'='1' AND
PASSWORD = '' or '1'='1'

Bizarro né …

“cancao”:

“cv”:

Melhor artigo que eu ja li sobre o assunto ateh hoje:

http://fishbowl.pastiche.org/2003/11/10/ahov_2_sql_injection

PreparedStatement impede isso por completo?!

Até.

A implementacao do driver ao menos deveria procurar por caracteres “especiais” e tratar eles da maneira adequada.

Rafael

“Rafael Steil”:

“cancao”:

“cv”:

Melhor artigo que eu ja li sobre o assunto ateh hoje:

http://fishbowl.pastiche.org/2003/11/10/ahov_2_sql_injection

PreparedStatement impede isso por completo?!

Até.

A implementacao do driver ao menos deveria procurar por caracteres “especiais” e tratar eles da maneira adequada.

Rafael

É por isso que eh mais comum ver essas falhas em sites rodando ASP. Quem usa ADO normalmente passa o comando direto no recordset(resultset) inves de usar o ADO.Command que é equivalente ao PreparedStatement.

Lipe… depois desse exemplo seu o numero de hackerzinhos do GUJ vai aumentar bastante

e eu diria q 90% dos sites governamentais q sao em asp tem problemas com isso… faca um teste: procure algum site .gov.br escrito em asp… veja se tem um /admin e pronto! 90% das vezes vc entra na admin deles com sql injection…

Para os interessados:

http://www.javafree.com.br/forum/viewtopic.php?t=5910&start=0&postdays=0&postorder=asc&highlight=

Att

No site c….com.br é possivel utilizar o campo de busca para fazer muitas besteiras, inclusive um “truncate filmes”. Acho que os caras usaram um usuário de acesso ao banco(MSSQL) com permissões de dbonwer. Lá você pode fazer algo do tipo: ';use master;–

e eu diria q 90% dos sites governamentais q sao em asp tem problemas com isso… faca um teste: procure algum site .gov.br escrito em asp… veja se tem um /admin e pronto! 90% das vezes vc entra na admin deles com sql injection…

só procurar no google

site:org.br inurl:"/admin/default.asp"

ou
inurl:"/admin/index.asp"
inurl:"/admin/admin.asp"

[]´s

Ele só achou 1.610 hits :lol: :lol: :lol:

Eu fico meio preocupado com isso, as vezes eu ligo o f**** e não aviso, mas tem muito lammer querendo aparecer por aí… e o coitado do programador inocente nunca vai ficar sabendo o que aconteceu… se a aplicação tem essas falhas imagina se ela vai ter log de segurança.

“Rafael Steil”:

A implementacao do driver ao menos deveria procurar por caracteres “especiais” e tratar eles da maneira adequada.

Rafael

Até.

“cancao”:

“Rafael Steil”:

A implementacao do driver ao menos deveria procurar por caracteres “especiais” e tratar eles da maneira adequada.

Rafael

Pois é, Rafael, era com isso que eu estava preocupado. Vcs, mesmo usando Prepared fazem alguma verificação dos parametros ou fazem algum “teste” do driver?! Ah, o Hibernate usa prepared para executar as queries?!

Até.

Isso é facil de testar… na sua aplicação em algum lugar que tenha um campo do tipo texto, insira um aspas e veja se ela foi gravada no banco. Se sim, seu driver já está tratando, se não preocupe-se!

“LIPE”:

Exemplo clássico de SLQInjection:

Colocar

' or '1'='1

ou

' or '1'='1'

em campos ‘Usuario’ e ‘Senha’ em muito sites ganhar-se-á (!) acesso.

Se o desenvolvedor não tratar aspas e aspas-duplas, esse pequeno exemplo funciona.

Imaginem a seguinte query:

SELECT * FROM tUsuarios WHERE ID = ' + userInputID + ' AND
PASSWORD = ' + userInputPassword + '

Dessa maneira, a query com os dados ficaria

SELECT * FROM tUsuarios WHERE ID = '' or '1'='1' AND
PASSWORD = '' or '1'='1'

Bizarro né …

OU

' OR ''='