Vejam o e-mail que acabo de receber:
Olá, gostaria de informar que há uma vulnerabilidade no site de carapicuiba expondo todo o banco de dados.
segue o dump bem básico do BD — sim, eu recebi os arquivos que compravam a invasão bem sucedida devido a falha no site/aplicação.
Quero lembrar que NADA foi alterado e nenhuma informação confidencial será divulgada.
Apenas estou mostrando e alertando a falha, ela ocorre no tratamento de caracteres.
segue o link q contem a falha explorada “http://www.carapicuiba.sp.gov.br/servicos.php?id_servico=258 “
O ataque feito foi SQL Injection, é simples a correção, basta arrumar o tratamento do código.
Desculpe a invasão 😉
O autor da invasão já é velho conhecido deste blog e agiu de forma ética, reportando aos donos do site que ele está com problemas. Agora, se eles já resolveram isso – aí é uma outra história.
P.S.: O pessoal do diáriodeSP ainda não mudou a senha do twitter deles. O troço chato…
Quer aprender mais um pouco sobre ataque e defesa ? Então participe do Cyber War Games. Restam poucos ingressos.
Giovane
3 jun 2012Vale ressaltar que o site de ubatuba também tem falhas de SQLi. Não foi uma descoberta minha, por isso fico receoso de contatar o adm
Kuramo
3 jun 2012Ainda não arrumaram..
E acho que só vão arrumar na hora que o site sofre alguma alteração do tipo ” Carolina Dickman” ou algo semelhante.
sarupk
4 jun 2012kkk
SQL Injection para nossa ALEGRIA!
Presidente Prudente
5 jun 2012O site da prefeitura de Presidente Prudente , interior de São Paulo, também, para NOSSSSSSSSSSSSSSA ALEGRIIIIIIIIIIA.
k3rn3lp4n1c
8 jun 2012Isso nao è assunto de voces, pede para o Alan Sanchez para de usar ferramentas prontas.
Ele nunca sera um hacker, e sim um script kid.
Ele nao tem conhecimento nenhum
Gustavo Lima
8 jun 2012Vocês precisam de tratamento, sério… Parem de se atacar, isso é melhor para vida de vocês..
marinaldo
6 fev 2015o site http://www.casaruibarbosa.gov.br/interna.php?ID_S=11
tanbem esta vuneravel
Fudêncio
9 fev 2015k3rn3lp4n1c, concordo com vc!
Utilizar ferramentas prontas para se auto-intitular, é fim de carreira!!!!
Aprenda como funciona e crie suas próprias!!!
Alias, use as prontas, mas saiba como tudo funciona em background!!
Abraços a todos!!