Szerintem nem nagy cucc ha valakinek van gépe és sávszélessége arra, hogy Acunetix-el végigszkenneljen néhány nagy nevet, és ha az csilingel, akkor írjon 1-2 queryt rá. De most tényleg. Mert magát a terméket a fejlesztőknek összedobni, az kemény meló. De nem ez...

@zoli20: Senki nem mondta, hogy nagy cucc ilyet találni, de éppen ez a lényeg: egy akkora cégnél, mint a Yahoo!, miért nem jut erőforrás arra, hogy a kiadott termékeken legalább egy automata scant lefuttassanak?

Mondjuk úgy gyorsabban szoktak fejleszteni és élesbe tenni alkalmazásokat, minthogy az amugyis túlterhelt security csapat leszkennelné azt. Ja, és nem is tudnak róla, hogy az akárhányadik oldal akárhányadik aloldalán új verzió van fent, mert nekik senki sem szólt. Hogy hányszor láttam már ilyet :) de szép is lenne, automata scan, miközben a büfében a vagyok - szerintem a bilibe lóg a kezem.

Az biztos hogy nagyon sok cég még nagyon messze van ettől, és addig nagyon sok wannabe lesz a főoldalon ilyen hírekkel. Mert az a pentester, aki megtalálta a másik 547 hibát majd átverte a szervezeten hogy ki is legyen javítva, az nem kerül főoldalra. Bár nem is szeretne. Na, befejeztem :)

Érzek némi ellentmondást: "de szép is lenne, automata scan, miközben a büfében a vagyok - szerintem a bilibe lóg a kezem." "nem nagy cucc ha valakinek van gépe és sávszélessége arra, hogy Acunetix-el végigszkenneljen néhány nagy nevet," ?

Az ellentmondás feloldása valahol ott van, hogy:

A román srác bizonyára torrentről szedte a cuccot, míg a cégnek 2 lehetősége van: vagy megfizet egy céget, hogy szkennelje bizonyos időközönként (máris van egy sérülékenységi idő) és elemezzék ki amit találtak, vagy maguknak megveszik és maguk elemzik. Tegyük fel, minderre van pénz paripa posztó (itt már elvérzett a cégek 80%-a). Akkor tegyük fel, találnak egy valós sérülékenységet. Saját tapasztalat, hogy amíg nincs gáz, akár hónapokig is eltarthat, mire kijavítják a hibát és élesbe megy a javítás (ami ténylegesen is megoldja a problémát) - újabb idő a sérülékenység kihasználására.

A lényeg amit mondani akarok: gyakran nem a "nem hozzáértés" a baj (bár a fejlesztő részéről ez nyilvánvalóan baj, dehát őt is csak sürgetik hogy "csak működjön és akkor mehet is a release élesbe"), hanem a folyamatszervezés/határidők/pénz/erőforrás.

Na meg természetesen az arányok, hogy a román srácnak elég egyetlen hibát találnia egy bizonyos időben, míg a szervezetnek minden időben minden hibát javítania kellene -> ezt a kettőt nehéz összemérni.

"folyamatszervezés/határidők/pénz/erőforrás": ne felejtsük el,. hogy a Yahoo-ról van szó, nem a sarki Kft-ről! Ha pedig egy ilyen kaliberű vállalattól sem várhatjuk el, hogy az ilyen pofonegyszerűen detektálható hibák felismerését, akkor szvsz. elég nagy a baj.
A biztonsági vizsgálatok jobb helyen a funkcionális tesztekhez hasonlóan bele kellene hogy simuljanak a fejlesztési folyamatba, így a javítás is sokkal gyorsabb és egyszerűbb lehetne.

Egyébként persze, igazad van: a hibákat kiszúrni könnyű, hibátlan kódot írni szinte lehetetlen - igazságtalan egy játék. De ettől még a figyelemfelkeltésre szükség van.

engem az 1. komment óta az érdekel, hogy honnan veszitek hogy scannerrel találta? csak ennyi érdekelne, nem több.

@EQ: www.acunetix.com/blog/web-security-articles/sql-injection-sneaks-into-kasperskys-support-website/

Illetve olvastam valahol, hogy a logokból is ez derült ki, de ezt most hirtelen nem találom.

@buherator: teljesen egyetértek mindennel, jobb helyen így kellene lennie.

Ja, és még1:

news.softpedia.com/news/Several-ESET-NOD32-Websites-Vulnerable-105688.shtml

Ez szerintem azért mókás, mert itt az látszik, hogy a hibás sql query-kről csinált screenshotot. Azért, mert nem akart tovább menni, vagy azért, mert nem is tudta hogy kell, már jó kérdés :)

A secu az olyan mint a levego. Ha van, akkor termeszetes de ha beut a krach akkor kurvahamar hianyozni fog.

gyerekek... csak az feltetelezheti hogy acunetix-el vegig lehet szkennelni akar egy icike-picike domeniumot is, fuggetlenul procitol, savszelessegtol, barmitol, aki meg soha nem hasznalta a programot. Az acunetix orakat bibelodik nehany parameteren is. Na es persze fel sem ismeri szkennelendo parameternek a kaspersky esteteben levot (xyz.com/123456 ) .Es persze rengeteg nyomot hagy a szerver log file-jaba, ami nem tul szerencses. Tehat en nem ajanlom senkinek hasznalatat. Amugy az acunetix szep reklamot csinal maganak mas munkajan.