Comments on: In atentia BitDefender.com, SQL Injection

By: Should I Trust You?

Should I Trust You? — Thu, 26 Feb 2009 09:24:54 +0000

[...] major antivirus companies. After the recent SQL injections in Kaspersky, BitDefender (here and here) and F-Secure the regular user might wonder in which company should they still [...]

By: Ce isi face romanul cu mana lui… « Dothemotto’s Blog

Ce isi face romanul cu mana lui… « Dothemotto’s Blog — Sat, 21 Feb 2009 15:17:00 +0000

[...] unui post de pe HackersBlog, principalul site BitDefender poate fi păcălit să dezvăluie conţinutul unor [...]

By: Claudel

Claudel — Thu, 19 Feb 2009 07:03:44 +0000

ma scuzi domnu’ tolique, ai dreptate
2fingers sau unu, pune-le ma cu bold in paranteza dupa fiecare db si ce informatii exista in acel db, credit cards, bank accounts, e-mails, phone numbers, home address, etc
pune-le mura-n gura ca sa le dai motive si idei la baietii “buni”.
daca sql injection ar fi aparut ieri, poate ca nu-ti mai ziceam rtfm, si daca chiar nu-ti poti da macar cu parerea cam ce informatii ar putea exista pe un server x, care e si afisat, atunci e grav

By: tolique

tolique — Wed, 18 Feb 2009 20:07:22 +0000

Duda de mai sus a.k.a. PartzPartzescu intreaba: “[...]ce fel de baza de date afecteaza si ce fel de informatii se pot prelua de acolo?[...]” i s-a raspuns in doi peri (specific) ca nu se citesc complet informatiile si ca sa se informeze lumea ca e Internetul plin.
Acum s-a inteles care era nemultumirea? Si vad si mai sus ca existau solutii de contact doar ca nu foarte la vedere. Asta nu inseamna nici rea-vointa, dar nu pare a fi nici ceva OK sa se publice “stuff” inainte sa fie reparat.

By: 2fingers

2fingers — Wed, 18 Feb 2009 20:00:54 +0000

@tolique – noi nu avem pretentia de a fi tratati ca experti in securitate. Anuntam, publicam, iar oamenii trag concluzii si baga sau nu la cap. Atata tot.
Cat despre un singur RTFM prezent pe tot blogul, intr-un singur comentariu, sa fim seriosi. Ne pare rau ca mai facem o gluma din an in paste care se pare ca deranjeaza 0.1% din vizitatori.

By: tolique

tolique — Wed, 18 Feb 2009 19:51:46 +0000

Da iti multumesc pentru lectia de etica in raspunsuri pe forumuri, bloguri si liste de discutii. Ce iti explicam eu este ca nu e modul de a vorbi al unui expert in securitate sau mai simplu nu e OK sa fii “cocky” cu userii care pun o intrebare.
Mai ales intr-un loc in care exista pretentia de oameni adulti “cu cap” care incearca sa ajute webdeveloperii in securizarea corespunzatoare a progeniturilor lor.

By: Claudel

Claudel — Wed, 18 Feb 2009 19:43:57 +0000

cauta un howto de unix si zi-mi daca nu gasesti in cel putin unu din ele, la sfarsit RTFM, daca nu intelegi ce inseamna cuvantul ala si-l iei motamo atunci ramai la parerile tale.sal
e ceva normal sa-ti zica oricine rtfm cand vii si pui intrebari de 3 lei sau doar ca sa-ti bati joc

By: Andre3000

Andre3000 — Wed, 18 Feb 2009 16:37:52 +0000

@tolique vezi ca multi webmasteri nu raspund la emailuri. GRESIT cei mai multi raspund si remediaza dar nu vad de ce am preciza noi asta in postul de pe blog. Precizare se face doar atunci cand nu raspund de aceea tu ii vezi doar pe cei care nu raspund. Spui ca folosim expresii gen RTFM n00b and stuff … din nou gresesti am facut o singura data o gluma cu RTFM. Daca nu ai chef sa citesti tot continutul nu iti da cu parerea despre o carte. Ceea ce facem noi este si va ramane non-profit … daca vrei sa fiu si meschin , eventual da’ne niste bannere de la tine si le punem la noi ca sa faci tu bani din treaba asta, noi nu vrem.

By: Rudi Bedy

Rudi Bedy — Wed, 18 Feb 2009 16:13:19 +0000

Bine, acum poti folosi adresa mea de mail pentru contact, sti unde lucrez . Nu lucrez la departamentele la care te-ai gandit, de aceea am spus ca nu sunt mare expert.

By: unu

unu — Wed, 18 Feb 2009 16:05:23 +0000

da…la blind sqli folosesc sqlmap sa extraga. Nu este niciun secret asta. Sqlmap-ul este un tool free, cel mai bun dupa parerea mea. Cine ar sta luni de zile sa faca sute de mii de interogari,sintaxe cand exista tool pentru asta. Poate un “expert” ca tine. Nu trebuie reinventat America, a facut-o Columb candva. Cat despre gasirea parametrilor vulnerabili, daca e asa usor, oare de ce n-o fac cei care sunt platiti f bine pt asta, cei care sunt raspunzatori de securitatea site-urilor respective? Rudi ..citeste cu atentie sectiunea About & disclaimer , aici nimeni nu e hacker, nu asta este scopul nostru. Cat despre acunetix –avand in vedere unde lucrezi– ai putea fi un pic mai bine informat (sau intentionat) si sa nu faci afirmatii gratuite. Inclusiv kaspersky a recunoscut in raportul sau oficial: cautarea parametrilor vulnerabili s-a facut din google, iar interogarile manual, fara scanner.