Megoldások IT problémákra!

NOOBok írták a magyar olimpiai bizottság szavazós oldalát.

http://logopalyazat.budapest2024.org/ címen lehet szavazni a 2024-es budapesti olimpia logópályázatára beküldött logótervekre. A fődíj 1'000'000 Ft. Madafaking 1 millió forint. Ennek már van tétje nemde? Mivel állami szervről van szó, ezért a weblapot is gondolom több száz millióbol rakták össze, ahogy szokás ilyenkor. Persze valami "szomszédpistike" kaphatta a megrendelést, mert olyan blődségeket követett el a weboldal készítésekor, hogy a szavazás leadásakor 0, ismétlem nulla azonosítás szükséges a szavazat leadásához.

screenshot_2016-04-12_20_22_39.jpg

Ha rányomunk a "szavazat leadása" gombra, akkor egy POST kérelmet küld a böngésző a szervernek és egy sütit rak le az oldal, ami megakadályozza a további szavazást. Ééééééérted? Egymillió forint múlik ezen és annyi védelem van beépítve az oldalba, hogy lerak egy sütit, hogy ne tudjál újra szavazni.

  • Ha esetleg neked be van állítva a böngésződben, hogy ne fogadjon sütiket, akkor igazából korlátlan számszor tudsz szavazni ha szavazat leadása után frissíted az oldalt. 
  • Ha belépsz inkognyitó módba és kilépsz akkor korlátlan szavavazatot adhatsz le.

Szóval, ha te egy élelmes grafikus vagy aki szeretne egymillát szerezni, akkor nincs más teendőd, mint kikacsolod a cookie-kat a böngésződben kb (3 klikk) Ezután pedig azt ismételgeted, hogy rányomsz a frissítés gombra, majd a szavazés gombra sokszor. Ha gyors a neted, akkor ez a kétlépéses tevékenység kb 3 másodpercet vesz el az életedből. Egy nap alatt így emberi erővel 30'000 szavazatot is le tudsz adni a saját művedre.

Teszteljük a dolgot egy scripttel

Nézzük egy próbát, itt van ez a kevésbé szép logó, ami jelenleg a 137. helyen áll.  Egy ismeretlen személy elvégzett egy egyszerű tesztet egy saját maga által írt scripttel és elküldte nekem a képeket   köszi Mr Nobody, érdekes.

  •  fogta a szavazat elküldő kódsort a weboldal forráskódjából és belerakta egy ciklusba és hagyta pár percet futni. Minden ciklus esetén várt fél másodpercet.

screenshot_2016-04-12_20_24_52.jpg

A forráskód részlet, amit az ismeretlen emberke belerakott egy ciklusba, látszik, hogy semmi védelmi intézkedés. Elmondása szerint át kellett írnia pár változót, de én erről nem tudok.

screenshot_2016-04-12_20_11_22.jpg

 

Hagyta futni pár percet. Eredmény 120 hellyel előrébb csúszott a logó. 

screenshot_2016-04-12_20_30_35.jpg

Csak hogy tisztázzuk a dolgokat:

  • Az script által elvégzett műveletsor ekvivalens azzal, hogy kikapcsolod a sütiket a böngészőben és ismételten frissítesz és szavazol. Webfejlesztős FB csoportokban azt rebesgetik, hogy így versenyzik egymással épp a top 5 grafikus :) Bár mit csodálkozunk olyan világban amikor versenyeket lehet nyerni "Lájkokkal", amikor az dönti el az eredményt, hogy kinek van több ismerőse?
  • Semmilyen biztonsági intézkedést nem kellett kijátszania annak aki küldte nekem ezt az érdekességet, (tehát §423 -mal sehogy nem ütközik) mivel nem volt biztonsági intézkedés és a böngészőt is rendeltetésszerűen használta. Sőt nagyon sok felhasználó alapból kikapcsolva tartja a sütiket a böngészőjében így ha valakinek sok ideje van (például egy mezei nagymamának) nyers erővel is termérdek mennyiségű szavazatot lehet leadni, akár a 80 éves terézke és összekattingathatta volna a a dolgokat - csak épp ezt egy script végezte.
  • Beszarás, hogy egy nagy valószínűséggel többszáz milliós weblap fejlesztése során ilyet hibát követnek el.

Update 0: Most nézem, ők hamarabb megtalálták a sebezhetőséget, itt PHP kódot közölnek

Update 1: Az indexre is eljutott a hír

A bejegyzés trackback címe:

https://nerd.blog.hu/api/trackback/id/tr208597666

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

sayitsayit 2016.04.13. 17:09:27

std

és akkor ez még nem is egy annyira biztonságkritikus hiba volt, hiszen már mindenki tudja mennyire relevánsak ezek a netesszavazások (kb mint az eurovíziós dalfesztivál, így kisbetűvel, ez meg így egybeírva, mert enyém az alkotói szabadság)

sőt, elég hamar előbukkanó hibának is mondható, szóval aki nem értené : "KI TUDJA MENNYI LEHET MÉG BENNE". igazi mszórakoztató mintadarab lehet unatkozó, és épp valami butító autizmust serkentő feladatra vágyó hackereknek, kb mint megfogni egy buborékfóliát, és durrogtatni kicsit, ha már szobanövény szinten érzed magad agyilag

Nerd blog!

Ezen az oldalon gyűjtöm az elém került informatikai problémákra talált megoldásokat, hátha másnak is hasznos! Ha itt végeztél kikapcsolódás képpen nézd meg a másik blogomat is: NapiGeek blog. DE TÉNYEG, OKÉ?


Címkék

10.10 (2) 10.9 (2) 7 (2) 7zip (2) 8 (2) a (2) adblock (2) agyhalott (2) alert (2) alkalmazás (3) allegro (2) android (4) animált (2) app (4) apple (16) archivum (2) atom (3) átverés (2) audio (3) bash (3) beállítás (4) beállítások (6) betűméret (2) billentyűkombináció (4) billentyűparancs (3) billentyűzet (2) bin (2) biztonság (2) blog (45) böngésző (9) box (2) cascaded (2) codeblocks (5) command (2) command line (3) crack (2) crash (2) cron (3) crontab (4) css (9) date (4) dátum (3) digitális analfabéta (2) disable (2) disk (3) div (2) drive (2) drugs bunny (2) editor (2) ellenőrzés (2) email (2) error (3) exe (2) facebook (8) fájlméret (2) fájlrendszer (2) faszbúk (4) fb (2) feed (3) feladatkezelő (2) felbontás (2) felcsatol (2) fix (2) folder (2) formázás (2) fos (4) fostalicska (2) geek (2) generálás (2) git (2) google (2) google drive (2) gps (2) graph (2) gzip (2) hack (6) hálózat (2) hang (3) háttér (3) háttérkép (2) hdd (2) header (2) helyesírás (2) hiba (3) hogyan (7) how to (2) hozzászólás (2) html (8) hu (2) id (2) időzített (2) image (2) img (2) ingyen (7) injection (2) internet (5) iphone (2) iso (3) javascript (7) kaki (2) kép (5) kikapcsol (4) kikapcsolás (2) kliens (2) kód (2) konvertálás (2) lájk (2) lekérése (2) lemezkép (2) leopard (5) letöltés (3) like (2) link (4) linux (10) lion (7) lista (2) log (2) mac (22) macbook (7) macbook pro (4) magyar (3) mavericks (5) mdf (3) mds (3) mentés (2) mini (2) mobilinternet (2) monitor (2) mount (4) mountain (3) mp4 (2) működik (2) mysql (4) nélkül (3) nem (5) nerd (47) okostelefon (2) olcsó (2) oldal (5) online (2) openoffice (3) osx (36) parancssor (5) password (2) pdf (3) php (14) plugin (4) png (3) program (2) programozás (8) rar (2) régi (2) rendszer (3) retardált (2) rss (3) safari (3) script (2) sebesség (2) sheet (2) shell script (2) sleep (2) snow (3) sok (2) stíluslap (5) style (2) stylesheet (2) szar (4) szűrő (2) tar (2) telepítés (4) terminal (5) teszt (2) time (4) tömörítés (4) tor (2) törlés (2) truecrypt (2) trükk (2) túl (2) ubuntu (3) újraindítás (2) unix (5) unlimited (2) url (3) ventillátor (2) version (2) video (3) virtualbox (2) warning (2) webfejlesztés (2) weboldal (6) widget (2) windows (10) windows 10 (2) windows 7 (2) windows 8 (2) windows xp (2) xcode (2) yosemite (4) youtube (7) zip (2) zoom (2) Címkefelhő

Statisztika