.dsy:it. (http://www.dsy.it/forum/)
- Forum De Bell Tolls (http://www.dsy.it/forum/forumdisplay.php?forumid=7)
-- [SITI BUCATI] Telecom Italia (http://www.dsy.it/forum/showthread.php?threadid=10228)

[SITI BUCATI] Telecom Italia

Quoto da questa news di Repubblica:

La vulnerabilità che affliggeva il sistema di Telecom, tecnicamente nota come "Sql Injection", è un tipo di falla molto comune. "Per chi è pratico di problemi di sicurezza", spiegano quelli di Ants, "è facile trovarla e testarla. Di solito, infatti, colpisce i siti minori". L'ex monopolista ha spiegato che la vulnerabilità era un problema temporaneo, provocato da una transizione del sistema.

__________________
~ get Debian! ~ get FreeBSD! ~ get OpenBSD! ~

Uhm... sbaglio o l'SQL Injection è il bug che permette di bucare un sito inserendo comandi SQL nei campi user/pass e simili ?

Effettivamente spesso nei siti minori non ci preoccupa un granché di questa cosa, ma in realtà basta fare un paio di replace sulla stringa immessa per immunizzarsi.

Comunque



...riguardo ai favolosi ipse dixit di Telecom:

"The attacks to network-connected computers by hackers [...] aren't possible if you connect to Internet using a modem and Tin.it [...] No one will ever know which IP you will have next time you connect, and so you will be less vulnerable during your Internet connections using Tin.it."

__________________
» Collect some stars to shine for you, and start today ‘cause there are only a few. _ (In Flames)
» Don't stop for nothing, it's full speed or nothing! I'm taking down, you know, whatever is in my way! _ ('tallica)
» I am my own god, I do as I please. _ (Pain)
» Ninetynine, ninetynine knives! Ninetynine knives inside! Nobody gets out alive! _ (The Haunted)
Web: http://www.negativesignal.com - ICQ# 171585477 - Death to software patents! And TCPA too! "e uno!", diceva il boia.

miiiii non ci posso credere!!!
troppo

__________________
~"sicurezza... oscurità... solo un altro sballato... in un mondo di sballati." (paura & delirio a Las Vegas)
~"C'HO CERTI CAZZI MAFA' CHE NEMMENO TU CHE SEI PRATICA LI HAI VISTI MAI..." (Proietti in Febbre da cavallo)
~"Il segno si decifra l'apparenza non si decifra. Non si deve assolutamente decifrare, non esiste proprio al mondo che l'apparenza si decifri" (Grande Max Mazzotta in PAZ )
~"Sono un eroe, perché lotto tutte le ore Sono un eroe perché combatto per la pensione Sono un eroe perché proteggo i miei cari dalle mani dei sicari dei cravattari Sono un eroe perchè sopravvivo al mestiere Sono un eroe straordinario tutte le sere Sono un eroe e te lo faccio vedere Ti mostrerò cosa so fare col mio super potere" (Capa)

Originally posted by korn
Uhm... sbaglio o l'SQL Injection è il bug che permette di bucare un sito inserendo comandi SQL nei campi user/pass e simili ?

Peccato per la fonte scelta

__________________
Cristian,il Nous che invoglia ^_^

"La capa è troppo in la,e la sbarba è troppo giovane..mi sa che qua si va in bianco"
Ryo Saeba (City Hunter)

Off-Topic:
Si in effetti a volte è lamer journal, xò qualcosa di carino c'è, poi ho preso la raccolta di 6 numeri che costa anche poco

Originally posted by ReQuIeM
Fonte: Hacker Journal (x evitare le figura da pirla alla baba(babbo)boom)

Originally posted by recoil
se la compro divento anche io un hacker?
fico!
non è che faccio la fine di quel tizio del thread di domenica scorsa?

Originally posted by ReQuIeM
non l'ho capita

...sto correggendo adesso questo errore che non avevo mai immaginato!

__________________
«And if you ever smell christian blood up in the mountains, then get your axe and chop them down!»

Originally posted by ReQuIeM
Esatto

ma che sfigati

In pratica tu inserisci nei campi user / pass una stringa tipo:
ciao' OR 'a'='a

e verrà fuori una query tipo:
Select * From NomeTabella Where Login = 'ciao' OR 'a'='a' AND Password = 'ciao' OR 'a'='a'

Poichè 'a'='a' è sempre vera e l'operatore logico usato è un OR, l'accesso è consentito

Fonte: Hacker Journal (x evitare le figura da pirla alla baba(babbo)boom)

__________________
~ get Debian! ~ get FreeBSD! ~ get OpenBSD! ~

Non avete idea di come sia il backoffice di telecom per il provisioning di adsl o simili... terrificante

Fino a un po' di tempo fa funzionava uppando dei file di testo delimitati (csv) via ftp, poi si sono modernizzati e han fatto una "intranet" che si inchiodava per motivi futili (tipo un apostrofo di troppo o simili) e offriva altre mille chicche, sulle quali è meglio se stendiamo un nda

Telecom è sempre oltre...

__________________
icq: 57553717 - mail: mino@ngi.it - web: www.minux.it - Fattori Arcani

Transizione temporanea??

BOT
DoSomethingWrong();
CreatePermanentSecurityBug();
Commit;
EOT

__________________
Cristian,il Nous che invoglia ^_^

"La capa è troppo in la,e la sbarba è troppo giovane..mi sa che qua si va in bianco"
Ryo Saeba (City Hunter)

Ne ha parlato anche Punto Informatico: link
Interessante anche il documento che hanno linkato

__________________
~ get Debian! ~ get FreeBSD! ~ get OpenBSD! ~