28.10.2011 16:36
Никто не заморачивался поиском? Ну, например, где-то в карточке или номере документа впихнуть инъекцию, чтобы с запуском отчета чистились карточки? :) Какие-нибудь секьюрно-некрасивые вещи вроде того же grant select on dba_users to public, которые рекомендуются в одной из док? Вот, тут ковырялся, пароль к SUPERMAG_SYS лежит в открытом виде "change_password"... В 25.1 версии вводится пользователь SAP с паролем q... Суть в том, чтобы при незначительных правах можно было бы устроить значительные проблемы админу. Ну и соответственно, лучше знать о проблеме заранее, чем когда кто-то ее придумает...
28.10.2011 16:42
Ну на старых (вроде 1024.6) версиях достаточно было забить в накладную количество более 10000000 или 20000000, как падало ТД.
28.10.2011 23:27
Цитата:
OlegON Ну на старых (вроде 1024.6) версиях достаточно было забить в накладную количество более 10000000 или 20000000, как падало ТД.
ага... мы наступили как-то раз на эти грабли ))
31.10.2011 22:33
Цитата:
OlegON Никто не заморачивался поиском? Ну, например, где-то в карточке или номере документа впихнуть инъекцию, чтобы с запуском отчета чистились карточки? :) Какие-нибудь секьюрно-некрасивые вещи вроде того же grant select on dba_users to public, которые рекомендуются в одной из док? Вот, тут ковырялся, пароль к SUPERMAG_SYS лежит в открытом виде "change_password"... В 25.1 версии вводится пользователь SAP с паролем q... Суть в том, чтобы при незначительных правах можно было бы устроить значительные проблемы админу. Ну и соответственно, лучше знать о проблеме заранее, чем когда кто-то ее придумает...
Подожди, но как я понимаю имея административный доступ к серверу с Ораклом достаточно несложно установить любой пароль для SYS? Или ты ведешь речь о отчете, котрый будучи заменным злоумышленником мог бы испортить базу?
31.10.2011 22:38
Да, я про инъекции и прочее, откуда можно ждать подлянки. Тот же SUPERMAG_SYS, уверен, никто не меняет, заходишь, снимаешь хеши с dba_users, отдаешь JTR и через сутки все слабые пароли у тебя в кармане, да там много что наворотить можно. Инъекция, это когда запрос вместо входного параметра получает от злоумышленника какой-то подзапрос, выполняющий зловредные действия.
31.10.2011 22:58
Цитата:
OlegON Да, я про инъекции и прочее, откуда можно ждать подлянки. Тот же SUPERMAG_SYS, уверен, никто не меняет, заходишь, снимаешь хеши с dba_users, отдаешь JTR и через сутки все слабые пароли у тебя в кармане, да там много что наворотить можно. Инъекция, это когда запрос вместо входного параметра получает от злоумышленника какой-то подзапрос, выполняющий зловредные действия.
Ну тут действительно наворотить можно много. Но как я думаю, тут не столько проблема в Супермаге как таковом, он то как раз пытается ввести хоть какое-то разграничение доступа. Проблема в пользователях. Ведь 80% дыр это незнание пользователя. Под пользователем подразумевается клиент. Максимум на что способен пользователь - высказать недовольство, что Супермаг устанавливается не в ProgramFiles и требует наряду с Ораклом административного доступа к каталогам.
01.11.2011 07:31
Ну это ты еще не видел настоящих пользователей :) Память подводит, но подглядеть у правоимеющего юзера пароль - это было самое бесхитростное. Потому и хочется знать дыры.
Часовой пояс GMT +3, время: 01:27.

Форум на базе vBulletin®
Copyright © Jelsoft Enterprises Ltd.
В случае заимствования информации гипертекстовая индексируемая ссылка на Форум обязательна.