Ivan Markovic - Security Net - Site exposed

Telekomunikacioni portal | XSS

Thu, 14 Aug 2008 12:25:49 +0100

- Tip sajta: Telekomunikacioni portal
- Tip propusta: XSS
- Detalji: Polje za pretragu nije pravilno zasticeno i omogucava XSS.
- Savet: Pretvorite specijalne karaktere u odgovarajuce html entitete.
- Pronasao: Aleksandar Nikolic

Biro | SQLi

Thu, 31 Jul 2008 12:53:55 +0100

- Tip sajta: Biro
- Tip propusta: SQL injection
- Detalji: Parametri za pretragu nisu pravilno sankcionisani pre koriscenja u samom upitu na bazu.
- Savet: mysql_real_escape_string
- Pronasao: Ivan Markovic

Drustvena mreza | Privilege Bypass

Wed, 23 Jul 2008 02:48:50 +0100

- Tip sajta: Drustvena mreza
- Tip propusta: Privilege Bypass
- Detalji: Ne postoji logika za proveru permisija i vlasnistva nad zapisima u sistemu.
- Savet: Obavezno je implementirati sistem permisija u ovakvim sistemima. Greska je pokusati nadoknaditi ovaj zahtev metodom 'security through obscurity'.
- Pronasao: Ivan Markovic

Mali oglasi | XSS

Tue, 22 Jul 2008 01:20:51 +0100

- Tip sajta: Mali oglasi
- Tip propusta: XSS
- Detalji: Polje za pretragu nije pravilno zasticeno i omogucava XSS.
- Savet: Pretvorite specijalne karaktere u odgovarajuce html entitete.
- Pronasao: Aleksandar Nikolic

Berza | XSS

Mon, 21 Jul 2008 11:44:18 +0100

- Tip sajta: Berza, vise sajtova svetskih berzi
- Tip propusta: XSS
- Detalji: Vise parametara za pretragu i sortiranje podataka nije pravilno zasticeno i omoguceno je direktno ispisivanje u html kod stranice. Ovaj pristup omogucava takozvani Cross-site scripting.
- Savet: Pretvorite specijalne html karaktere u svoje html entitete.
- Pronasao: Dejan Levaja