United
- Yahoo! again - XSS in Uncategorized (357 Visits)
- Yahoo! again - bad settings? in Uncategorized (252 Visits)
- Fanii nostri in Uncategorized (183 Visits)
- Frustrant in Uncategorized (146 Visits)
- La multi ani România, la multi ani românilor in Uncategorized (137 Visits)
- Weblog.ro - Shell via Local File Inclusion in Uncategorized (119 Visits)
- Yahoo! epic fail - permanent xss unleashed in Uncategorized (50 Visits)
- ... in Uncategorized (38 Visits)
- XSS Ownage - hi5 vs. Yahoo! + video in Uncategorized (2 Visits)
- Ce nu se invata la scoala - Tipuri si tehnici spam/Hi5 (4) in Uncategorized (2 Visits)
- Ce servicii de mail folositi? in (121 Visits)
- Azi este ziua userilor hackersblog.org in (120 Visits)
- De reţinut in (117 Visits)
- Inca o pierdere de timp in (107 Visits)
- De tinut minte in (106 Visits)
- Twitter in (78 Visits)
- Un nou membru in (74 Visits)
- Interviu la Radio Lynx in (70 Visits)
- 2009 in (51 Visits)
- Editori noi. in (35 Visits)
- Ce nu se invata la scoala - Tipuri si tehnici spam/mail (2) in (199 Visits)
- Ce nu se invata la scoala - Tipuri si tehnici spam (1) in (139 Visits)
- Ce nu se invata la scoala - (D)DOS (5) in (104 Visits)
Posted on February 2nd, 2009
“Locuri de munca in Romania si in strainatate, horoscop cariera, jocuri cariera, angajari, cereri, joburi..” Un site imens, cu un trafic foarte mare (vizitatori în ultimele 30 de zile: 3.633.428) ne pune la dispozitie, in afara de acele locuri de munca si o baza de date uriasa. Plus – daca va amintiti cazul jurnalul.ro cand ziceam de un sqli penibil – de data asta va pot spune ca avem de-a face cu un sqli si mai penibil. Acum o singura interogare afiseaza 10.000 de rezultate.
Prima data sa vedem un print screen cu datele firmelor care dau anunturi (nume, adresa, oras, telefon, cod fiscal, email, numar angajati, username, password). Parola cum altfel decat in text clar !!!
Dar cireasa de pe tort ramane indiscutabil tabelul cu datele celor inregistrati (nume, prenume, data nasterii, oras, adresa, telefon, username, email,si password ) La fel parolele sunt lasate in voia sortii ,fiind salvate in text clar !!!!
Nu e o noutate. Nou e insa numarul enorm de mare al celor inregistrati: peste 1.300.000 . Sa mai zica cineva ca romanul nu-i muncitor sau ca n-ar vrea sa munceasca.
February 2nd, 2009 at 3:42 pm
[...] aici. February 2nd, 2009 in [...]
February 2nd, 2009 at 5:19 pm
Grav domne! Grav!
February 2nd, 2009 at 5:20 pm
wow!
February 2nd, 2009 at 5:32 pm
[...] la moda si pe val demonstratiile de hacking menite sa arate fragilitatea bazelor de date ale site-urilor romanesti. Exista si un blog dedicat, la link-ul de mai [...]
February 2nd, 2009 at 6:26 pm
[...] de la hackersblog ( nu de alta daca am inceput cu marsavii sa continuam cu marsavii) sunt respunzatori de deflorarea [...]
February 2nd, 2009 at 6:31 pm
Iata o veste extrem de proasta. Lucrurile par aiba un sambure de adevar, caci site-ul http://www.e-jobs.ro nu este accesibil in data de 02-02-2009 orele 16:05 PM.
De ce este vestea extrem de proasta ?
1. proasta administrare a datelor personale este un caz penal. Firma care administreaza situl este expusa acum la consecintele legale din Legea privind protectia datelor personale nr. 665/2001.
Actiune in justitie poate deschide de acum orice persoana fizica care si-a depus un CV la e-jobs. Daca numarul acestora va fi doar de 1% dintre cele 1,3 milioane estimate, ne asteptam la circa 13.000 de procese.
In plus “zbirii” de la Autoritatea nationala pentru protectia datelor personale, cunoscuti pentru modalitatile foarte particulare de interpretare a legii, gen incercarea de a obliga TOATE scolile, liceele si facultatile din tara la plata taxei de inregistare ca procesatori de date personale si gen incercarea similara de a obliga TOTI ANGAJATORII sa faca acelasi lucru deoarece proceseaza date pentru salarii – cel mai probabil se vor dezlantui asupra operatorului sa-l nenoroceasca in amenzi
2. site-ul e-jobs a beneficiat de o mare credibilitate si a oferit angajatilor si angajatorilor un mijloc foarte bun de informarea reciproca. Modul profesionist in care operatorul s-a achitat de sarcina publica a organizarii unei piete libere de munca, s-a dovedit pana acum ireprosabil. De acum incolo insa, acest business de succes este compromis.
3. deoarece astfel de “scapari” nu sunt intamplatoare si nu sunt in general doar opera unor atacuri din afara, ne asteptam ca scurgerile sa continue si bazele de date respective sa devina in viitorul apropiat.
Astfel de “pierderi” de date sunt de cele mai multe ori opera unor persoane din interior care vor incerca in continuare sa le vanda sau sa le puna intr-o circulatie cat mai larga, pentru un profit de cele mai multe ori derizoriu in raport cu valoarea datelor.
4. “pata profesionala” se va pune de acum asupra profesionistilor din informatica, deoarece intre cei care au organizat piata de forta de munca libera cu instrumente informatice (e-jobs) se gasesc cei care au facilitat spargerea
Sper ca sa fie gasiti intre profesionistii din IT specialisti buni informaticieni si cu simt de raspundere civica care sa ajute la solutionarea cazului si la identificarea adevaratilor responsabili. Acest lucru nu este in mod evident suficient pentru a repara situatia, deoarece specialistii in informatica nu au nici o calitate in ancheta penala si in administrarea justitiei.
February 2nd, 2009 at 6:54 pm
Foarte tare. Asemenea incompetenta n’am mai vazut de mult. Mi-e si rushine ca’s suficient de prost sa cred ca nu mai poti face nimica cu un SQL injection, se vede ca e inca cea mai tare unealta.
Asa se intampla cand angajezi cei mai ieftini programatori de pe piata, si limita experientei de securitate in companie tinde la 0.
Ieftin, Bun, Sigur – alege oricare doua.
February 2nd, 2009 at 6:58 pm
esti un bou fraiere! poate te opresti ca o sa ti-o iei la bot de nu mai vezi tastatura 5 luni.
February 2nd, 2009 at 7:00 pm
la naiba, e si parola mea pe acolo
ce kkt.
February 2nd, 2009 at 7:28 pm
[...] ma intreaba ironic daca am cont pe ejobs. De ce? Situl a fost hackerit si peste 1.300.000 de conturi sunt la discretia tuturor. Nici nu-s multe. Fu.k, chiar am cont pe [...]
February 2nd, 2009 at 8:37 pm
Calmati-va. Perimetrul problematic e patchuit de cateva zile.
February 2nd, 2009 at 9:34 pm
Ingrijoratule..vad o adevarata teorie a conspiratiei in comment-ul tau..nu, nu e vorba de asa ceva, sincer. E doar un banal parametru nesecurizat, nesanitizat corespunzator. Si relax tuturor care au cont pe ejobs, parolele voastre n-au ajuns pe mana nimanui,din moment ce nici nu au fost extrase,salvate
February 2nd, 2009 at 9:41 pm
Ii e frica ca ii violezi si lui mailul. Asta e Zeitgeist in toata regula.
note to myself: i will hack 127.0.0.1, the world will be mine. Mhahaha
February 2nd, 2009 at 10:53 pm
eJobs sunt penibili din 3 motive:
- au buguri XSS
- au parolele in clar
- sunt inregistrati la dataprotection
Sunt curios cum va reactiona concurenta. Totusi sunt multi bani in joc pe piata locurilor de munca iar o greseala de genul asta le-ar putea fi fatala.
February 2nd, 2009 at 10:59 pm
Concurenta (bestjobs/neogen): http://hackersblog.org/2008/12/17/neogenro-o-imensa-baza-de-date-accesibil-oricui-sql-injection/
February 3rd, 2009 at 12:17 am
mi-am uitat parola. imi da careva sql-ul sa mi-o recuperez asa mai direct?
February 3rd, 2009 at 2:32 am
@Ingrijoratu : site-ul e ejobs.ro, nu e-jobs.ro. Normal ca nu iti merge.
February 3rd, 2009 at 6:50 am
Am vazut stirea asta pe Twitter de la o cunostintsa.
Nu va faceti voi un cont pe twitter? si dupa ce ati postat pe blog, bagati linku si acolo, ca sa aflam mai repede.
De acord cu multe din posturile de mai sus. Avem prea mare incredere in portalurile inregistrate la dataprotection. Pacat ca, tipic romanesc, nimeni dintre administratorii bazelor de date nu va patsi nimic.
… SI NEOGEN?!?!?!?! DAMN!
si noi cum spargem buboiul? Pacat ca multi nu dau doi bani pe securitate si pun aceeasi parola pe toate conturile de pe toate site-urile. Cate lacrimi vor curge de acum incolo din cauza asta!!!
February 3rd, 2009 at 7:38 am
@Theo – Suntem prea batrani ca sa intelegem scopul lui Twitter
. Totusi o sa ne dam silinta.
February 3rd, 2009 at 9:34 am
@2fingers – c’mon, am peste 30 de ani si vreo 12 de lucru in mediu tehnic. Cu toate astea am inteles despre ce e vb. Nu e o joaca. Nu e HI5. Incercati. O sa va prindeti repede. E imposibil sa fiti mai batrani ca mine.
February 3rd, 2009 at 9:37 am
just try.
http://www.webanalyticsworld.net/2009/02/ultimate-guide-to-twitter-marketing.html
February 3rd, 2009 at 10:02 am
ai fi uimit dar unii dintre noi sunt mai batrani ca tine
February 3rd, 2009 at 10:13 am
[...] aici mai multe [...]
February 3rd, 2009 at 11:07 am
http://www.sans.org/top25errors/ … una din ele este si sql injection(printre multe altele)
February 3rd, 2009 at 11:14 am
[...] de la hackersblog au spart site-ul de ejobs.ro. Ca sa dovedeasca, au postat o lista cu useri si datele acestora, parolele fiind trunchiate. Din [...]
February 3rd, 2009 at 11:21 am
hahahaha ma asteptam la mult mai multe de la netbridge
praf domne’ praf
February 3rd, 2009 at 11:25 am
Taman ce aflai ca nu e netbridge in charge of ejobs… my bad
February 3rd, 2009 at 11:46 am
[...] Hackers Blog This entry was written by News Admin and posted on February 3, 2009 at 2:45 pm and filed under Diverse, Tehnologie/IT. Bookmark the permalink. Follow any comments here with the RSS feed for this post. [...]
February 3rd, 2009 at 12:15 pm
[...] schimb azi aflu ca ejobs.ro are vulnerabilitati si uite de unde au aparut 1.300.000 din lista aia de spam, restul de 500.000 [...]
February 3rd, 2009 at 12:56 pm
[...] chibiti ca si noi, discuta pe forumul Hotnews.ro cum ca ejobs.ro a fost spart. Altii, mai tehnici, explica mai bine situatia. Daca aveti cont p-acolo si obisnuiti sa puneti aceeasi parola ca si la emailul personal, ar fi de [...]
February 3rd, 2009 at 1:03 pm
[...] Mai multe informatii aici. [...]
February 3rd, 2009 at 1:23 pm
unu si 2fingers sunteti cam varza. stiti zicala daca taceai filosof ramaneai?! cum sa nu fie salvate, dar cel care a facut printscreen-ul nu putea sa salveze pagina sau cum? au facut un regex pe select si union si cica perimetrul este securizat =)) … varza frate … bravo hackerului.
February 3rd, 2009 at 1:36 pm
Posted by unu in SQL Injection
Il faci varza si apoi il feliciti? Pay attention kid, pay attention
February 3rd, 2009 at 1:42 pm
Eu daca eram in locul unuia dintre userii aratati in capturile de mai sus fugeam instant sa caut un avocat si sa ii jupoi de bani pe aia de la eJobs. Ceream cateva milioane despagubiri si sa-i fi vazut apoi pe toti adminii de pe site-urile astea care fac o caciula de bani de pe urma userilor cum se puneau pe treaba, stiind ca e posibil sa intre in faliment daca nu sunt preocupati sa faca tot ce se poate pt securizarea datelor stocate.
February 3rd, 2009 at 2:19 pm
catreunusi2fingers…eu n-am zis ca nu se puteau salvate ,ci ca n-au fost extrase si salvate …si stiu ce vorbesc,pe ce ma bazez ..poate ca sunt eu varza in sqli, dar daca tu esti asa AS fa-mi tu o sintaxa pentru acel parametru acum securizat
February 3rd, 2009 at 2:19 pm
[...] ale căror date personale au fost expuse în modul cel mai brutal cu putinţă. Am aflat de aici despre micul inject SQL (oricine a pus vreodată mîna pe o carte de PHP ar trebui să ştie că [...]
February 3rd, 2009 at 4:48 pm
[...] ce citesc pe hackersblog.org despre ejobs.ro si cat de sigur e serviciul… utilizatori, parole, adrese de email, date ale [...]
February 3rd, 2009 at 5:30 pm
ejobs e facut cu studenti la facultati romanesti de informatica, sau cu profesori care asteapta cresteri de salariu cu 50%?
February 3rd, 2009 at 6:07 pm
[...] – subiectul zilei 3 Februarie 2009 18:06 Pornit de la print screen-ul cu vulnerabilitatea ejobs, deschis de Ionut, continuat la Zoso, inchis (oare?) pe hackersblog acolo de unde a pornit. Yey, [...]
February 3rd, 2009 at 9:12 pm
Bravo boys
Apropo niste tutoriale SqlI sa puneti fac-ute de voi desigur
February 4th, 2009 at 1:56 am
[...] ieri-alaltaieri pe un blog de specialisti in hacking ca ejobs.ro are (sau avea, ca intre timp s-a reparat) o vulnerabilitate ce lasa la vedere datele [...]
February 4th, 2009 at 3:10 am
[...] fel de ridicol este să te iei de unu ca a pus o poză ce conţine 20-30 de numere de telefon şi adrese de e-mail (care, vezi-doamne, ar [...]
February 4th, 2009 at 4:56 pm
pai si cine e mai penibil? jurnalu national sau ejobs?
February 4th, 2009 at 11:25 pm
In august 2008 am discutat cu cei de la e-jobs suport pe tema parolei tinute in clar (vezi o parte a conversatiei mai jos). Se pare cu nu au VRUT sa tina parola in HASH. Au ei motivele lor:))
Parte din lista de mailuri:
Buna Laura,
1. Am incercat si de pe alte calculatoare si nu am reusit (Cu userul de companie am putut sa ma logez).
2. Cred ca problema e apostroful sau slashul din parola. Cred ca de curand ati schimbat algoritmul de criptare / decriptare al parolei. De ce nu implementati paternul clasic de autentificare (cu functii hash – md5, sha)?
3. Se poate sa-mi resetati parola si sa-mi setati o parola fara caractere speciale (daca nu sunt acceptate)?
Multumesc
February 9th, 2009 at 6:47 pm
[...] site-ul ejobs a fost spart folosind un SQL injection foarte simplu. Articolul poate fi citit aicea: http://hackersblog.org/2009/02/02/ejobsro-si-peste-1300000-de-conturi-cu-date-personale/. Este foarte trist ca datele a peste 1 300 000 de oameni puteau fi accesibile oricui fara a face un [...]
March 16th, 2009 at 1:43 am
[...] Peste 1 milion de conturi şi peste 3 milioane de vizite în ultimele 30 de zile. Parolele nu sunt sub formă de “hash” ci doar text. Mai multe detalii aici. [...]
March 16th, 2009 at 7:16 pm
[...] Adevarul e ca au decazut mult, iar Ejobs s-a trezit si cu datele celor 1.300.000 useri la vedere. [...]
July 15th, 2009 at 7:21 pm
[...] Sursa: Aici [...]
July 15th, 2009 at 10:52 pm
asa le trebuie
November 5th, 2009 at 12:37 am
tipu/tipa folosea Tor sa schimbe IP (:-@)
)
January 24th, 2010 at 10:47 am
Mai din ce am citit eu aici am inteles ca de fapt ceea ce se poate face in materie de protectie datelor personale este:
1 sa scrii datele adevarate
2 sa arati angajatorului numai minimumul de date pentru a te putea contacta eventual
3 sa ii ceri lui ejobs sa-ti plateasca daca foloseste, instraineaza sau i se fura datele tale personale si stabilesti o suma.
4 mai baieti ceea ce mai trebuie aflat de catre cel care s-a prins ca a fost pacalit, furat,etc, este cine sint oamenii de la ejobs, nume, adrese, detalii pentru instanta.
5 Daca totusi cineva are nevoie de asa ceva sa posteze cererea sa aici si se rezolva.
6 A T E N T I E vine vremea cind lucrurile prost facute vor disparea, deoarece lucru prost facut mai bine lipseste decit sa existe.