How to become an author
Search
Write a publication
Pull to refresh

Comments 50

У такой крупной корпорации с мешком денег нет специалистов способных оформить работу с базой без таких дыр?
С такой проектировкой вполне себе возможно ожидать подобные проблемы в других местах их сервиса, вопрос в том когда методом тыка ткнем куда надо. А если не методом тыка, а подумать… То сколько дыр найдем?
Total votes 20: ↑6 and ↓14-8
Дыры есть у всех. Просто чтобы их найти все, нужен нетрадиционный подход. Кто то выплачивает вознаграждение, кто то прячет голову в песок, а кто то грозит судом.
Total votes 28: ↑28 and ↓0+28
кто то прячет голову в песок, а кто то грозит судом.
и правда, некоторые используют
нетрадиционный подход
This comment wasn’t rated yet0
Была подобная некрасивая история с каким то нашим банком. Косяк долго не закрывали и чел сказал СБ банка что расскажет обществу. Ну а те не долго думали. Деталей к сожалению память не сохранила. В поиске уже не ищется(видимо выпилили).
This comment wasn’t rated yet0
Очень хочется верить, что выпилили не чела.
This comment wasn’t rated yet0
Как ниже подсказали, это был все же сбербанк(в чем я не был до конца уверен). А чел тот писал по ситуации на форумах, по моему даже на банки.ру. Но что то я его сообщений больше не вижу.
This comment wasn’t rated yet0
ПриватБанк. Этого чела довольно долго чморили, вплоть до навешивания уголовки.
This comment wasn’t rated yet0
Конкатенация вместо параметризованных запросов? В 2018? Это не дыры…
Total votes 5: ↑5 and ↓0+5
Код писали еще в 2012, когда такого не было.
Вы ни разу не сталкивались в работе с древним кодом что-ли?
Total votes 2: ↑0 and ↓2-2
Это где это аж в 2012 не было prepared stmt?
Total votes 2: ↑2 and ↓0+2
он и сейчас не во всех либах используется. между прочим
This comment wasn’t rated yet0
А если еще с persistent connection то в малом их числе.
This comment wasn’t rated yet0
я парочку видал где жестко всегда с параметрами(ну никто конечно не мешает обойти)
This comment wasn’t rated yet0
В каком-то древнем фреймворке — вполне может быть.
This comment wasn’t rated yet0
Код писали еще в 2012, когда такого не было.

Если этого не было в 2012, то как я это мог изучать в середине 00х…
Total votes 1: ↑1 and ↓0+1
Сталкивался, году эдак в 99ом… А если серьезно то в любой книжке еще лет 20 назад было написано, что данные должны быть отделены от запросов.
Total votes 1: ↑1 and ↓0+1

Справедливости ради, даже джуниоры знать, что делать, чтобы не допускать таких тупых инъекций. Так что да, это позор, а не то, для нахождения чего нужен «нетрадиционный подход».

Total votes 2: ↑2 and ↓0+2
Кто то выплачивает вознаграждение, кто то прячет голову в песок, а кто то грозит судом.

Был в одной знакомой фирме проект — не было никакой программы вознаграждения.
Написал некто, попросил денег за уязвимости. Ему вообще не ответили.
Затем система сломалась (наверное он сломал).
Просто заплатили мне (не ему), чтобы я поставил новую обновленную (без уязвимостей) версию системы.

Искать уязвимости и на этом зарабатывать — не так уж и романтично.
This comment wasn’t rated yet0
Недавно слышал интересную историю от исследователя с немного другим результатом: он нашел достаточно специфичный баг, написал о нем в компанию. Ему ответили нечто неопределенное, потом стали игнорировать. Через некоторое время баг закрыли заплаткой. Но оказалось, что заплатка не закрывала баг полностью, а только очень сильно усложняла нахождение бага и немного — его эксплуатацию.

Итоги: есть компания с серьезным багом, требующим еще более специфичных знаний для обнаружения и понимания, что он здесь вообще есть, и внешний исследователь, который о нем знает, но при этом очень неоднозначно относится к компании.
This comment wasn’t rated yet0
У Valve очень много старого легаси кода, который написан много лет назад, когда компания ещё не была такой большой. В то время они тесты вообще не писали.
Total votes 2: ↑2 and ↓0+2
а тестами такие штуки не больно таки и найдешь.
только ревью, пожалуй, поможет
Total votes 1: ↑1 and ↓0+1
Круто, что Valve начали платить за найденные уязвимости. Всего с лет пять назад они тикеты с сообщениями об уязвимостях просто молча закрывали, даже без спасибо.
Total votes 8: ↑7 and ↓1+6
Видимо дошло чем это грозит. Особенно на фоне последних крупных сливов.
Total votes 1: ↑1 and ↓0+1
Не знаете, а у Сбербанка есть такая программа — платить за найденные уязвимости? Я нашел в Сбербанк Онлайн потенциальную уязвимость.
This comment wasn’t rated yet0
Нет, более того, у них очень своеобразный подход к безопасности: возможность получения доступа к информации о балансе карты и списку операций при некоторых условиях (крайне слабая авторизация) они считают нормальной.
Total votes 4: ↑4 and ↓0+4
Хорошо, если не обвинят тебя во взломе и не попытаются посадить.
Total votes 19: ↑19 and ↓0+19
Причем что то такое мелькало в новостях. Не помню конкретно ли со сбером или с другим российским(представительством) банком.
Total votes 2: ↑2 and ↓0+2
Именно со Сбером и было, самый невменяемый банк.
Total votes 7: ↑6 and ↓1+5
Ясно, спасибо за предупреждение.
Total votes 1: ↑1 and ↓0+1
Продайте ее в даркнете, напишите им через тор, а после напишите сюда — все будут довольны
This comment wasn’t rated yet0
Классная статья. Короткая и захватывающая.
Мы так-то на работе тоже Akamai WAF используем, и до сих пор я особо не задавался вопросами «можно ли его обойти?» и «насколько он эффективен вообще?».
Было познавательно.
Total votes 4: ↑4 and ↓0+4

Мы отправили заспрос с DB_NAME/всёчтоугодно/() — WAF ничего не понял — можно репортить еще и в WAF?

Total votes 3: ↑3 and ↓0+3
когда-либо сгенерированные разработчиками игор Steam.
Не
игор
, а игр
Total votes 24: ↑3 and ↓21-18
«Игор» — это мем откуда-то. Ну и опечатки лучше в личку :)
Total votes 2: ↑2 and ↓0+2
UFO just landed and posted this here
когда-либо сгенерированные разработчиками игор Steam.

когда-либо сгенерированные разработчиками Игор, Steam
This comment wasn’t rated yet0
WAF блокирует запрос, когда встречает в нём функцию. Вы знали, что DB_NAME/**/() — вполне валидный вызов функции? Файрвол тоже знает и блокирует. Но, благодаря этой фиче, мы можем разделить вызов функции на два параметра!

Не совсем понял. Если WAF блокирует запрос, в котором встречается DB_NAME/**/(), то почему он не заблокировал countryFilter[]=UA’,DB_NAME/*&countryFilter[]=*/(),’RU?
Total votes 1: ↑1 and ↓0+1
потому-что этот запрос был раздлен по разным никак не связанным параметрам как мозайка. Логика её обработки лежит все-же на бэкенде.
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Фокус с кавычкой так и не понял. Как количество кавычек может влиять на исход дела? MySQL вообще капризная к синтаксису штука, кавычку/скобку не там поставил и запрос тупо вылетает по синтаксической ошибке.
Total votes 1: ↑0 and ↓1-1
try {
    return $db->getResults();
} catch(...) {
    return [];
}

?
Total votes 2: ↑0 and ↓2-2
Спасибо автору, только что сгенерировал себе 100500 тысяч ключей
Total votes 2: ↑1 and ↓10
через закрытую уязвимость?
Total votes 4: ↑4 and ↓0+4

А вот интересно, гипотетически, valve заметит генерацию такого количества ключей или будет все валидно? Так что не ясно является ли эта уязвимость настолько критической (но то что она желанная — это до), если аккаунт потом всё равно забанят.

This comment wasn’t rated yet0
Как я понял, там таки идет не генерация, а запрос уже выданных разработчику.
Total votes 2: ↑2 and ↓0+2
Уязвимость была в функциональности скачивания ключей, а не генерации. Какое-то количество ключей уже продано конечным покупателям, какое-то количество продаётся прямо сейчас на легальных торговых площадках. Так что заблокировать все ключи или забанить аккаунты — это большой ущерб как для Valve, так и для партнеров.
Total votes 2: ↑2 and ↓0+2
Я не совсем понимаю как такие уязвимости вообще появляются, за всё время своей коммерческой практики я не разу не писал sql запросы вручную, всегда использую драйвера к базе в которых уже есть защита от подобного, последний раз писал сам только в школе на продвинутых курсах информатики.
Total votes 3: ↑3 and ↓0+3
Sign up to leave a comment.

Articles

Show the best of all time
Unlock dark mode

Your account

Sections

Information

Services

Support
© 2006–2024, Habr