Re: [lms] limit zapytań do tabeli customers dla usera wbok
Dnia 2020-01-27, o godz. 12:17:15 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
W dniu 27.01.2020 o 12:09, Krzysztof Szwaba pisze:
Dnia 2020-01-27, o godz. 11:22:18 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
Czy możesz podać przykład jak wyciągnąć listę klientów z ebok lub jak wyciągnąć inne dane niż swoje?
na wirtualce WBOK mysql -h <ipek.z.baza.lms> -uwbok -p'xxxxxxxxxx' -e " SELECT * FROM customers" lms > zhakowane_dane_osobowe_twoich_klientów.txt
Czy dajesz klientom dostęp do cli bazy danych?:)
apache buffer overflow
W dniu 27.01.2020 o 12:34, Krzysztof Szwaba pisze:
Dnia 2020-01-27, o godz. 12:17:15 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
W dniu 27.01.2020 o 12:09, Krzysztof Szwaba pisze:
Dnia 2020-01-27, o godz. 11:22:18 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
Czy możesz podać przykład jak wyciągnąć listę klientów z ebok lub jak wyciągnąć inne dane niż swoje?
na wirtualce WBOK mysql -h <ipek.z.baza.lms> -uwbok -p'xxxxxxxxxx' -e " SELECT * FROM customers" lms > zhakowane_dane_osobowe_twoich_klientów.txt
Czy dajesz klientom dostęp do cli bazy danych?:)
apache buffer overflow
Pokaż mi proszę jak krok po kroku to odwzorować.
W dniu 27.01.2020 12:48, Jarosław Kłopotek - INTERDUO napisał(a):
W dniu 27.01.2020 o 12:34, Krzysztof Szwaba pisze:
Dnia 2020-01-27, o godz. 12:17:15 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
W dniu 27.01.2020 o 12:09, Krzysztof Szwaba pisze:
Dnia 2020-01-27, o godz. 11:22:18 Jarosław Kłopotek - INTERDUO jkl@interduo.pl napisał(a):
Czy możesz podać przykład jak wyciągnąć listę klientów z ebok lub jak wyciągnąć inne dane niż swoje?
na wirtualce WBOK mysql -h <ipek.z.baza.lms> -uwbok -p'xxxxxxxxxx' -e " SELECT * FROM customers" lms > zhakowane_dane_osobowe_twoich_klientów.txt
Czy dajesz klientom dostęp do cli bazy danych?:)
apache buffer overflow
Pokaż mi proszę jak krok po kroku to odwzorować.
LMS stara się wszystkie dane wejściowe do zapytań escape-ować poprzez użycie: "... VALUES (?, ?, ?)", array($param1, $param2, $param3)); To oczywiście przykład dla zapytania DML. Jeśli znalazł ktoś lukę to proszę o jej wyraźne zgłoszenie, żeby można było to po prostu poprawić.
Swoją drogą niedawno w inetLMS/iLMS można było wykraść dane wszystkich klientów nie wykorzystując SQL injection, a po prostu podmieniają ID faktury w pasku adresu przeglądarki www, więc nawet SQL injection nie musi być jak widać potrzebny ;-)
Dnia 2020-01-27, o godz. 12:52:13 Tomasz Chiliński tomasz.chilinski@chilan.com napisał(a):
Swoją drogą niedawno w inetLMS/iLMS można było wykraść dane wszystkich klientów nie wykorzystując SQL injection, a po prostu podmieniają ID faktury w pasku adresu przeglądarki www, więc nawet SQL injection nie musi być jak widać potrzebny ;-)
Wektory ataku mogą być różne. SQL injection to tylko jeden z nich. Przy okazji szukam jakiegoś sensownego zabezpieczenia samego apache w warstwie 7 serwerem proxy z dobrymi filtrami "content type" najlepiej aktualizowanymi na bieżąco.
Krzysztof
Część, zaszalejmy ;p F5 BIGIP jako loadbalance i "dopał" ssl Paloalto jako L7 może być inny NGFW
Jeśli nie potrzeba loadbalance to często NGFW mają "dopał" SSL.
Wiem przesadziłem po całości ;P
Dnia 27 stycznia 2020 12:59:02 CET, Krzysztof Szwaba mailing_ks@infolan.net.pl napisał(a):
Dnia 2020-01-27, o godz. 12:52:13 Tomasz Chiliński tomasz.chilinski@chilan.com napisał(a):
Swoją drogą niedawno w inetLMS/iLMS można było wykraść dane
wszystkich
klientów nie wykorzystując SQL injection, a po prostu podmieniają ID faktury w pasku adresu przeglądarki www, więc nawet SQL injection nie musi być jak widać potrzebny ;-)
Wektory ataku mogą być różne. SQL injection to tylko jeden z nich. Przy okazji szukam jakiegoś sensownego zabezpieczenia samego apache w warstwie 7 serwerem proxy z dobrymi filtrami "content type" najlepiej aktualizowanymi na bieżąco.
Krzysztof _______________________________________________ lms mailing list lms@lists.lms.org.pl http://lists.lms.org.pl/mailman/listinfo/lms
-- Wysłane za pomocą K-9 Mail.
Dnia 2020-01-27, o godz. 18:35:15 Waldemar Dymkiewicz wdjag@interia.pl napisał(a):
Część, zaszalejmy ;p F5 BIGIP jako loadbalance i "dopał" ssl Paloalto jako L7 może być inny NGFW
Jeśli nie potrzeba loadbalance to często NGFW mają "dopał" SSL.
Wiem przesadziłem po całości ;P
Myślałem o czymś mniej skomplikowanym :) np https://www.akeebabackup.com/videos/1207-admin-tools/1543-at003-web-applicat... Najlepiej za niewiele $$$.
Dnia 2020-01-27, o godz. 23:33:15 Krzysztof Szwaba mailing_ks@infolan.net.pl napisał(a):
Dnia 2020-01-27, o godz. 18:35:15 Waldemar Dymkiewicz wdjag@interia.pl napisał(a):
Część, zaszalejmy ;p F5 BIGIP jako loadbalance i "dopał" ssl Paloalto jako L7 może być inny NGFW
Jeśli nie potrzeba loadbalance to często NGFW mają "dopał" SSL.
Wiem przesadziłem po całości ;P
Myślałem o czymś mniej skomplikowanym :) np https://www.akeebabackup.com/videos/1207-admin-tools/1543-at003-web-applicat... Najlepiej za niewiele $$$.
Ktoś testował może to https://avlab.pl/nowy-produkt-comodo-web-application-firewall-do-ochrony-ser... rozwiązanie ?
uczestnicy (4)
-
Jarosław Kłopotek - INTERDUO -
Krzysztof Szwaba -
Tomasz Chiliński -
Waldemar Dymkiewicz