Как стать автором
Поиск
Профиль
Обновить

Комментарии 26

Спасибо за открытость. Несколько способов взлома не знал. Пишите в следующий раз подробнее. Хотелось бы чуть более технического поста.
Всего голосов 12: ↑12 и ↓0 +12
НЛО прилетело и опубликовало эту надпись здесь
Забавно, думал что BSI-13 скорее фича, а не баг. Встречал подобную уязвимость на очень больших сервисах, стоит репортить?
Всего голосов 3: ↑2 и ↓1 +1
Насколько я понял, тут проблема в переполнении int. В итоге, платим мало, а получаем очень много.
Всего голосов 2: ↑2 и ↓0 +2
Понял, оплачиваем 10 рублей, получаем плюшки за 900.
Всего голосов 1: ↑1 и ↓0 +1
Почти :) Платим фиксированную сумму ~200р, получаем любую введенную (до максимального инта).
Всего голосов 1: ↑1 и ↓0 +1
Судя по «комментарию Asd», платим около 8 долларов, а получаем примерно на 800 тысяч долларов (2147483647 кредитов).
Всего голосов 2: ↑2 и ↓0 +2
Проблема в том, что пользователь может указать одну сумму, а купить товара на намного большую сумму. Это явно не фича :)
Всего голосов 3: ↑3 и ↓0 +3
да, с кредитами это нужно уметь так промахнуться: ведь проще всего ввести матрицу пересчета денег в кредиты и вообще не защищать эту уязвимость: пусть пользователи любое число вводят, им все равно счет на пересчитанную сумму будет выставлен.
Всего голосов 4: ↑4 и ↓0 +4
Вы не можете списать случайную сумму при использовании подавляющего большинства способов оплаты, к тому же за такое можно и по голове от регулятора получить :)
Всего голосов 2: ↑1 и ↓1 0
Если сумму списать не удастся, то и баланс кредитов не будет пополнен. Все четко.
Зато можно от начальства получить премию, если всякие хакеры начнут по 15к через Яндекс.Деньги оплачивать :) Или по 100к через Visa.
Всего голосов 1: ↑1 и ↓0 +1
я все вообще не понимаю, как так можно было написать. Приходит в голову только вариант вида 

switch ($value) {
    case 100:  $amount = 45; break;
    case 1250: $amount = 450; break;
    case 2750: $amount = 900; break;
    default:   $amount = 200;
}

но это совсем жесть
Всего голосов 2: ↑1 и ↓1 0
Прошу прощения, но большая часть уязвимостей совсем детская. Неужели ваш фреймворк сам не подставляет анти-CSRF токен или X-Frame-Options, я бы поверил, что на дворе 2008 год, но в 2013м это как-то странно. А обработка кредитов это вообще азы веб-разработки. Читал и не верил своим глазам!

Но в любом случае спасибо, что осветили свои проблемы, надеюсь, кто-то из читателей тоже найдет похожие проблемы со своими веб-сайтами. Оставлю здесь ссылку на английском, в которой описано много типов типовых уязвимостей, не пугайтесь специфики Rails, на самом деле там очень много вещей, общих для любого веб-фреймворка: guides.rubyonrails.org/security.html
Всего голосов 7: ↑6 и ↓1 +5
токен есть, но и кода очень много, потому ошибки, увы, неизбежны
Всего голосов 5: ↑5 и ↓0 +5
Про sandbox в iframe первый раз слышу. Стыдно :(
Всего голосов 3: ↑3 и ↓0 +3
javascript.info/tutorial/clickjacking вот тут в сумме поподробнее :) правда там написано что только хром, на самом же деле его поддерживают все последние версии браузеров кроме оперы
Всего голосов 1: ↑1 и ↓0 +1
А напишите нам в комментариях, пожалуйста, про какие уязвимости вам еще хотелось бы прочитать?
corp.badoo.com/security-board/
Всего голосов 1: ↑1 и ↓0 +1
кликджекинг — так вот как называется эта вещь, когда через телевизор заходишь на яндекс.видео и пытаешься нажать плей в элементах управления на некоторых видео с некоторых сайтов, а тебе показывают новую странцу со всякой неожиданной фигней. При чем если нажать в центр фрейма, проигрывание начнется нормально. Уже телевизор боишься включить в присутсвии детей :(
Всего голосов 1: ↑1 и ↓0 +1
smart tv? :D знакомая ситуация %)
Комментарий пока не оценивали 0
Очень жалко, что не успел поставить плюс за пост. Вы, наверное, одна из первых компаний, которая так подробно описывает результаты поиска уязвимостей, обычно все остальные компании отмалчиваются. +1 один Вам в пацанскую карму =)
Всего голосов 1: ↑1 и ↓0 +1
Есть конечно :)
Комментарий пока не оценивали 0
Футболка не приходит =(
Всего голосов 1: ↑1 и ↓0 +1
Добрый день, сегодня напишем Вам письмо. В любом случае футболку и сертификат отправим повторно.
Комментарий пока не оценивали 0
Пришла посылка, клевые футболки и сертфикат. Ещё раз спасибо Вам! =)
Всего голосов 1: ↑1 и ↓0 +1
Пожалуйста! Очень рады, что Вам понравилось.
Всего голосов 1: ↑1 и ↓0 +1
Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

Ваш аккаунт

Разделы

Информация

Услуги

Техническая поддержка Вернуться на старую версию
© 2006–2023, Habr