Lv3. XSS и боги прокрастинации
В общем сегодня я покажу Вам 2 сайта. Шедевры прокрастинации.
Наш первый пациент.
Магазин автопренадлежностей. Думаю скоро надо будет деньги за рекламу брать...
О чем это я? Ах, да. Самая частая проблема - не сверяем остатки в базе с заказанным кол-вом. Но если наши прошлые клиенты хоть как то пытались усложнить мне жизнь, то тут - даже моя бабушка сможет заказать провода для прикуривания.
Друзья, ну серьезно... Неужели так трудно банальный запрос к базе сделать? В дальнейшем я думаю мы перестанем даже упоминать о проверке таких ситуаций, ибо 1/2 всех сайтов содержит эту ошибку.
Но! У нас есть кое что поинтереснее! XSS. Взял я для проверки не типичную для этого дела форму регистрации.
Далее заливаем в поле ФИО "<script type="text/javascript">alert('Да кому нужны эти проверки на XSS?')</script>" и видим
Отлично! Теперь это окно я буду видеть на половине страниц...
Наш второй пациент
Вот это уже поинтереснее. Сайт на битриксе. На сайтах на этой CMS попробовать найти уязвимость в процессе добавления товара в корзину и процедуре оформления заказа - достаточно сложно. На то есть ряд причин. Но самая главная - нет необходимости передавать цены. Достаточно просто передать ID товара. Цена сама подхватится. В корзине и в оформлении заказа даже ID нигде не выводится, поэтому на этих страницах попробовать обмануть систему практически бесполезно. Само собой бывают задачи, которые требуют передачи цены со стороны клиента, но таких очень мало. Поэтому шанс выиграть в лотерею больше, чем наткнуться на такой сайт.
Пиар битрикса? Может быть. Но я работаю именно на нем, поэтому и могу сказать больше о его защите.
Так вот. Вернемся к сайту. Тут я даже покажу что за сайт такой.
Достаточно дорогой домен. Оооочень дорогой. Но ребята могу себе его позволить.
А вот нормального программиста - нет.
И так, поехали пытаться добавить недоступный товар.
У битрикса для добавления товара, если используется дефолтный компонент bitrix.catalog (а он используется с вероятностью 99.9%), достаточно дописать в урле
?action=ADD2BASKET&id=#ID товара#
Значит ищем ID. Вот что то похожее.
Товаров на сайте не так много. Поэтому скорее всего его ID - 480. Пробуем.
У меня слов нет. Что бы Вы понимали всю ироничность ситуации - у битрикса есть модуль, который отвечает за работу склада. В случае, если его установить и включить складской учет - даже делать сверку с остатками в базе не нужно будет. РАЙ для наших разработчиков-прокрастинаторов!
Именно поэтому используя эту CMS в версии "Малый бизнес" и не использовать столь очевидный способ защиты от подобных ситуаций - позор!
З.Ы. Что то не рыбные выходные выдались. Ребят, серьезно - Вы бы хоть подкинули пару сайтов на проверку. Одному искать скучно.
З.Ы.З.Ы. Господин Рыжиков, я в этом посте случайно подкинул Вам лидов. Мы можем помочь друг другу =) Ну, Вы поняли.
