Evomag.ro este un mic si simpatic magazin online ce vinde produse electronice. Nu e nimic deosebit in asta. Problema este cu totul alta. Este spart neincetat datorita vulnerabilitatilor de tip sql injection. Este greu de imaginat ca un magazin online atat de mic nu poate avea parte de o securitate mai de doamne ajuta. Adica, oare cat este de greu sa platesti pe cineva care sa se ocupe de sanitizarea scripturilor? Nu vorbim despre o companie uriasa cu sute de domenii si subdomenii, vorbim de ceva micut cu un site extrem de simplu. Cate fisiere poate contine cms-ul lor? 100? 200? 300? 1000? In 4 saptamani maxim ar fi trebuit sa rezolve definitiv problemele de securitate.

De ce vorbesc acum despre evomag? Pentru ca nu a fost spart o singura data, doar pe RST vazand postate vulnerabilitatile din respectivul shop de cateva ori, o data chiar fiind puse la dispozitia tuturor userul si parola de administrare.

Sa speram ca nu vom avansa in domeniul cumparaturilor online prea curand. Daca shop-urile noastre vor incepe sa stocheze datele de pe cartile de credit ale clientilor asa cum se procedeaza la scara larga in afara, vom fi foarte fucked up.

Ideea articolului provine de aici.

Un alt articol despre evomag: http://www.hackersblog.org/2008/11/26/evomagro-sql-injection-self-dos-path-disclosure-local-file-inclusion/

Related Posts

• October 25, 2009 -- Deja vu
• November 26, 2008 -- Evomag.ro, SQL Injection, Self DoS, Path Disclosure, Local File Inclusion
• December 24, 2009 -- Forumul Andreei Balan spart
• December 22, 2009 -- Fun cu NemoExpres.ro
• December 11, 2009 -- Kaspersky Thailand hacked by TinKode