Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

video.bme.hu

2009.12.07. 16:44 | buherator | 22 komment

Először is szeretném a figyelmetekbe ajánlani a címben szereplő remek oldalt (nye, adok pageranket is :), melyen a BME különböző (általában "nagy látogatottságú" :) előadásait tekinthetitek meg ingyen, otthoról, akkor is ha nem vagytok hallgatók (legalábbis egyelőre). Éljen a szabad információáramlás!

Másrészt viszont stef hívta fel rá a figyelmemet még múlt hét szerdán, hogy az oldal fórumában nem, csak az oldal forrásában jelenik meg kacsacsőr jel, ami ugyebár nem utal sok jóra. Nem kellett sokat keresgélni ahhoz, hogy kiderüljön, hogy a oldal SQL injectionnel is sebezhető. Mindez nem jelent túl sok jót az oldal méltán gyarapodó felhasználói táborára nézve, mert bár a jelszavak titkosítva vannak, azért egy bot bármikor teleszórhatja a fórumot egy csomó jópofa kóddal, amit aztán el lehet küldeni a víruskergetőkenek analízisre - hogy csak a legalapabb dolgot említsem.

Persze a problémákról küldtem levelet a megadott kapcsolattartói e-mail címre is, de nem jött válasz, remélem ebben a formában hatásosabb lesz a bejelentés!

Ezek mellett van a szájtnak egy kis szabadszoftveres vonatkozása is, amit nem tudok nem megosztani: Valamelyik helyi erő nyilatkozta azt az egyetemi lapnak, hogy "amikor a formátumokról döntöttek [a] fő indok az volt, hogy a kodekekkel senkinek se kelljen szöszmötölnie, és még a legrégebbi vágású embereknek se állítson akadályt az útjába" - ezért lett a formátum WMV, no comment :P

Információim szerint egyébként az oldalt nem infósok fejlesztik.

Címkék: sql injection xss video.bme.hu

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

HoaxSpecialist · http://hacker.blog.hu 2009.12.07. 18:17:54

azert 975 user md5ben kodolt adata is veszelyes nem? :)

HoaxSpecialist · http://hacker.blog.hu 2009.12.07. 18:18:53

Jah hogy majdnem md5.. :)
Nem megy nekem ez a saccolosdi.. :))

axt · http://axtaxt.wordpress.com/ 2009.12.07. 19:52:27

Egy hülye kérdés: Ti nem fostok kilistázni 1000 ember jelszavát majd hencegni vele a "fórumon"?

Vagy csak én láttam eddig olyant, hogy bár a rendszergazda/fejlesztők nem csináltak belőle nagy ügyet hivatalból jelezték a megrendelőnek, aki feljelentést tett, ki tudja mihez fértek hozzá alapon ...

b3nsz4 (törölt) 2009.12.07. 20:33:40

Kivan itt listázva bármi is?
Direkt kicsillagoztam.. h ne nézhesse meg..
Őszintén szólva.. levél-t buhera küldött.. rongálni senki nem rongált..
Semmilyen adatot nem mentett le senki..
Nem értem miért jönne a feljelentés?

EQ · http://rycon.hu 2009.12.07. 21:15:17

az egy dolog h buherának nem válaszoltak, ő linkelhette volna, de valamiért nem tette. Te gondolom nem jelentetted, szóval téged lazán feljelenthetnek... Jó igen tudom h 100szuper biztos proxy van a server, inda és közted, dehát no, attól még meg kell ezt jegyezni.

Plusz egy ártatlan kérdés. Miért jó h itt van egy parciális link? Aki tudja mit keressen megtalálja a link nélkül, aki meg nem az úgysem... Csak egy ártatlan kérdés volt :)

buherator · http://buhera.blog.hu 2009.12.07. 21:18:30

Jószándékom jeleként a kérdéses kommentet kimoderáltam, de tény, hogy ezt egy közepesen fejlett pokémon* is megtalálja.

* Nem célzás ;)

axt · http://axtaxt.wordpress.com/ 2009.12.07. 22:39:49

Félreértés ne essék, nem erkölcsi prédikációt akartam tartani ... tőlem aztán azt postol mindenki amit csak akar.

Mindenesetre mostanában elszaporodtak az önjelölt sql-injection és xss "huszárok" (nem a fenti "kollegákra" értem ezt most), akik minden további nélkül beposztolják bizonyos fórumokra az általuk talált sebezhetőségeket / user-pass listákat, stb.,

Engem csak az érdekel, hogy tisztában vannak -e ennek a lehetséges jogi következményeivel? Mármint tudtommal még az is megütheti a bokáját, aki "jószándékkal" jelenti a fejlesztők/rendszergazda felé ...

buherator · http://buhera.blog.hu 2009.12.07. 22:49:25

@(-1): Nem miattad moderátam ha ez megnyugtat :) Ami az "SQLi/XSS huszárokat" illeti számomra is unalmasak már ezek a mindenhol előforduló, egy kaptafára menő sebezhetőségek, de amíg a jelenlegi és leendő fejlesztőknek halovány lövésük sincs ezekről a potenciális problémákról, addig nem baj ha minél többfelé lehet halani róluk. A júzerek persze szívnak, ami sajnálatos de talán így egy idő után okosabban kezelik majd a jelszavaikat és más személyes adataikat.

HoaxSpecialist · http://hacker.blog.hu 2009.12.08. 00:30:20

@(-1): teny hogy "veszelyes" de akkor hol lenne benne az izgalom es a felfedezes orome?
@buherator: az az egyik csoport akik nem tudjak wtf is it, a masik (a rosszabbik) amikor tudjak hogy ftw de szarnak ra.

es egy kis politika:
"Igen keremszepen! Elkurtuk! Ha nem tetszik, el is lehet menni"

btw johetnenek meg 0day webcuccok, esetleg postolhatnal egy nagyon geek bsd howto es infot nekem (vagy emailben dobhatnal) mert ugy dontottem belevagok es epitek egy home szervert 'education only' celokra.
koszi :))

buherator · http://buhera.blog.hu 2009.12.08. 09:56:10

@HoaxSpecialist:
- Ahogy írtam, a webes hibák az 500. után marhára unalmasak, persze mindig akad egy-két érdekes darab. Egy-két hetente azért tervezek figyelemfelkeltő posztokat a témában, de ha minden single SQLi-t kiposztolnék, akkor megtelnének a bloghu diszkjei...
- Nagyon geek BSD howto alatt mit értesz? Szerintem van kismillió guide a neten.
- Ha valaki talál egy SQLi-t a NASA _weboldalán_ az vicces, ha bemegy mondjuk a repülésirányító rendszerekbe, akkor le a kalappal - utóbbiról persze úgysem fogunk hallani...

Udi · http://blog.udi.hu 2009.12.08. 13:18:19

> hogy a kodekekkel senkinek se kelljen szöszmötölnie, és még a legrégebbi vágású embereknek se állítson akadályt az útjába" - ezért lett a formátum WMV

Ez a kedvenc mondatom a bejegyzésben :D

synapse · http://www.synsecblog.com 2009.12.08. 13:22:53

EQ: A proxys dologgal most ugye vicceltel? :)

buhera: atomlolz @ pokemon :D

-1: Nem, nem tudnak a jogi kovetkezmenyekrol, ez jobb is nekunk igy :)

Hoax: "nagyon geek bsd howto" & "felfedezes orome" :D

Koszi, jol elkacagtam ma reggel is :)

synapse

EQ · http://rycon.hu 2009.12.08. 16:21:29

Szerintem elég képlékeny még amit írtam, szóval nem tudom te mire gondolsz, de amúgy van benne egy kis irónia ha arra voltál kiváncsi

HoaxSpecialist · http://hacker.blog.hu 2009.12.08. 16:50:34

Na wazz, tisztelelet tette az osszes Hekktiviti 2009 arc ennel a postnal. :D
@buherator, en tulajdonkepp ugy ertettem hogy lehetne tobb cikk a webservice hekkelesrol (es nem a kosza lofaszbugok feltarasara gondoltam, azok jok ugy ahogy vannak, omlesztett postonkent( or NULL)
@synapse: ez a bajom a magyar mentalitassal amugy, mosolyogni en is tudok rajta, de attol nem leszek okosabb. :)
@EQ szerintem fun a szomszed netet is beleepiteni a proxychainbe. :D
visszaterve, mindenki megy bortonbe! csunya csunya csunya rossz fiuk vagytok.! :DD

HoaxSpecialist · http://hacker.blog.hu 2009.12.08. 16:51:10

nem tudok irni.
*Na wazz, tisztelelet tette SZINTE az osszes Hekktiviti 2009 arc ennel a postnal. :D*

b3nsz4 (törölt) 2009.12.08. 17:40:26

Én is írtam nekik..
Válasz:
---------------------------------------------------------------
Kedves *****!

Jövőre mindenképpen új honlap készül, a biztonsági hibákkal mi is tisztában vagyunk. Köszönöm, hogy szóltál!

Üdv,
************
****
---------------------------------------------------------------
Ennyit róluk.
Ahogy megnéztem bme eléggé megvan szórva sql injectekkel.. : /

buherator · http://buhera.blog.hu 2009.12.08. 18:00:53

@b3nsz4: Írtak közben nekem is...jó hogy tudnak róla :P Érdekes módon az nem nagyon érdekli őket, hogy hol vannak a hibák, és hogy hogyan lehetne őket javítani. Minden esetre íváncsi vagyok jövő félévig hány emberkének potyogna ki a jelszava/hányszor ownolják a szervert...

synapse · http://www.synsecblog.com 2009.12.08. 19:11:51

Hoax: unalmamban mar csak mosolyogni tudok. Sexurity meg majd lesz jovore az uj honlappal a ma levan szarva

r@ek (törölt) 2009.12.09. 08:28:49

Nézd mán!

Nem szedte ki a fickó NASA linkjét!!

DISZKRIMINÁCIÓ!!!

AZÉRT MERT FEKETE VAGYOK??!!

Csiszy 2009.12.09. 15:09:12

Az indexen hozzátett nasa-s post nem új a nap alatt.
U.e. oldal sebezhető volt, árulták [nemtommiennemzetiségű] egy oldalon.
A r00t-y0u-n is adtak [amíg volt] hirdetést, kinézem , hogy egyszerűen felvásárolta az infot.
A képek 1-től 1ig ismerősek. Nekem bűzlik. :)
A 300k usernél járó oldalaknál azért a XSS vagy SQLi nemkicsi gubi.
Mondjuk én még 500. nál nem is járok, de egyáltalán nem unalmas. ^^