helyen található webalkalmazás v2 paramáteráben talált SQL injection lehetőséget, amelyet ki is használt. A szerver megjelenítette a hibaüzeneteket az alkalmazás pedig nem gondoskodott a felhasználóktól érkező bemenetek megfelelő szűréséről, ezért a támadónak könnyű dolga volt.

Először egy UPDATE kéréssel rövid üzenetet helyezett el az oldalon, majd kilistázta a regisztrált felhasználókaz, illetve azoknak titkosítatlanul tárolt jelszavait. Miután végzett, egy egyszerű HTML kód beszúrásával betöltött egy távoli gépen található CSS fájlt, ami Szaud-Arábiát illetve a támadót dicsőítő képeket és üzeneteket jelenített meg az eredeti oldal helyén.

Részletekbe menő, színes-szagos leírás itt olvasható. A cikkeben egyébként azt írják, hogy az rosszul szűrt bemeneten kívűl a látható hibaüzenetek voltak a támadás kiváltó okai. Ez természetesen tévedés, hibaüzenetek nélkül is vígan kivitelezhető lett volna egy vak SQL Injection támadás.