Как я ломал InfoArt

Xakep, номер #019, стр. 019-048-4

http://ins.infoart.ru/cgi-bin/ins/">

http://ins.infoart.ru/cgi-bin/ins/">

Все. Комментарии не требуются. Вводим логин и можем изменить пасс на любой! Плохо только то, что узнать пасс не меняя его - нельзя. Авторизация тут работает четко.

Таким образом, зная логин, можно менять пасс любого юзера, иметь всю его почту (xxx@iname.ru), заходить в чат под его именем (это особенно касается модеров и админов) и пользоваться всеми службами InfoArt! (Этой страничкой можно воспользоваться - http://ihack.narod.ru)

Финал

Как видишь, взлом не сложный, но эффектный. Потребовалось лишь примитивное знание работы cgi и кое-что по мелочи. Это "кое-что" было описано в X и на околохацкерских сайтах. О чем это говорит? Да о том, что админы (я имею в виду админов сервера) о безопасности сервака заботятся мало, дыры в скриптах не ищут и не патчат. Поэтому такие примитивные взломы прокатывают. Вот такие дела. Больших тебе творческих успехов, хацкер!

P.S. Прошу прощения у тех, кто невольно пострадал в ходе моих экспериментов в чате (у меня был ник Finnan).

P.P.S. Все вышеописанное работало не только в Спорт-Экспресс, но и во всех чатах системы InfoArt. Параметр room везде указывает на название чата.