Archive for November 12th, 2008

Web Application FAIL @ Politecnico di Torino

Cosa succede quando un’applicazione Web è scritta male? Oppure se viene su come un insieme di patch applicate sequenzialmente, da autori diversi, ad un prodotto scritto male?
Probabilmente viene su il Portale della Didattica del Politecnico di Torino.
Chiedete ad un qualsiasi utente del portale: frequenti downtime, misteriosi errori SQL:
Little Bobby Tables
(evviva l’escape ed il binding)
Per non parlare dell’assoluta inusabilità della sezione del materiale didattico. Ma, in fondo, non è grave. Basta che i nostri dati siano al sicuro. In effetti, se qualcuno volesse vedere, ad esempio, le fotografie degli studenti, dovrebbe essere innanzitutto autenticato, ma soprattutto autorizzato a vederle. Nella pratica, ogni studente è autorizzato a vedere solo la propria foto e quelle dei professori dei corsi che segue (anche se da un po’ di tempo questa funzionalità é broken).
Se volete convincervene, provate a sostituire a XXXXXX una qualsiasi matricola numerica >= 100000 :

http://didattica.polito.it/pls/portal30/sviluppo.foto_studente?p_matricola=XXXXXX

(gli iscritti al Poli possono provare anche ad autenticarsi, prima, e poi seguire il link sopra per la propria matricola)
Peccato che qualche genio deve aver avuto la pensata sbagliata e deve aver realizzato che, per la porzione di applicazione web che stava sviluppando, questa restrizione era troppo vincolante (già, portarsi in giro dei dati di sessione, o fare delle query SQL corrette, è troppo faticoso). Dunque, dalle pagine relative agli esami IELTS si raggiunge la propria foto mediante un indirizzo diverso:

http://didattica.polito.it/pls/portal30/sviluppo.maria_test?p_matricola=XXXXXX

Adesso la prova possono farla tutti. Sostituite XXXXXX con una matricola numerica di esattamente sei cifre (magari non troppo alta).
Buon divertimento.

(non sono io ad aver scoperto questa vulnerabilità, ma un amico, al cui sito fornirò il link se me ne darà il permesso)
(e, no, non avviserò proprio nessuno)

3 comments November 12th, 2008


Rate:  

Calendar

November 2008
M T W T F S S
« Oct   Dec »
 12
3456789
10111213141516
17181920212223
24252627282930

Badges

Posts by Month

Posts by Category

What's played in the cave