What don't kill you make ya more strong
Читал сейчас Хабр по поводу SQL-инъекций (если кто не знает - это такая весч, которая может сделать практичсеки всё с жертвой, использующей базы данных - от раскрытия пароля учётной записи администратора до тотального уничтожения всей БД) и наткнулся на один комментарий:
«А вот еще идея возникла. Распечатываете этот штрихкод на стикеры, и незаметно клеите их рядом с ценниками в супермаркетах конкурента.
Когда в конце рабочего дня будут производить учет товаров какой-нибудь доброход-товаровед обязательно посветит на него штрих-код сканером.
А там написано *\'; DROP TABLE products; --*
P.S. Я и сам принимал участие в разработках программ складского учета с применением сканеров штрихкода. И знаю — никто там, естественно, входные данные не проверяет, чаще всего шпарят прям напрямую запросы с динамическими параметрами в SQL-базу. А теперь вот задумался, прогресс-то не стоит на месте… »
(c) sly2m
То есть вот так вот просто можно угробить всю БД продуктов огромнейшего супермаркета! И даже не нужно пробивать продукт на кассе - во многих магазинах спецом висят читалки в торговых залах, чтобы можно было узнать цену конкретного продукта...
Хм)))) А ведь так же можно и менять цену товара))) Причём наживо)) То есть подносишь к читалке такой вот код с инъекцией - она считывает, измняет цену товара в базе, а ты с этим же товаром (но уже с нормальным штрих-кодом) идёшь на кассу и нормально покупаешь за цену, которую только что сам установил))
«А вот еще идея возникла. Распечатываете этот штрихкод на стикеры, и незаметно клеите их рядом с ценниками в супермаркетах конкурента.
Когда в конце рабочего дня будут производить учет товаров какой-нибудь доброход-товаровед обязательно посветит на него штрих-код сканером.
А там написано *\'; DROP TABLE products; --*
P.S. Я и сам принимал участие в разработках программ складского учета с применением сканеров штрихкода. И знаю — никто там, естественно, входные данные не проверяет, чаще всего шпарят прям напрямую запросы с динамическими параметрами в SQL-базу. А теперь вот задумался, прогресс-то не стоит на месте…
»(c) sly2m
То есть вот так вот просто можно угробить всю БД продуктов огромнейшего супермаркета! И даже не нужно пробивать продукт на кассе - во многих магазинах спецом висят читалки в торговых залах, чтобы можно было узнать цену конкретного продукта...
Хм)))) А ведь так же можно и менять цену товара))) Причём наживо)) То есть подносишь к читалке такой вот код с инъекцией - она считывает, измняет цену товара в базе, а ты с этим же товаром (но уже с нормальным штрих-кодом) идёшь на кассу и нормально покупаешь за цену, которую только что сам установил))
-
-
29.09.2010 в 08:53-
-
29.09.2010 в 13:09-
-
29.09.2010 в 13:15да нуу,это ты зря,терминальные режимы еще не отменяли....
-
-
29.09.2010 в 13:46