Błędy w serwisach Hoga.pl

W kilku serwisach należących do Hoga.pl występował błąd który dawał całkowity dostęp do zamieszczenia bądź podmiany dowolnych plików. Na dowód istnienia tego błędu został zamieszczony, oczywiście w celu prezentacji błędu, plik na serwerze randki.hoga.pl.

Plik został umieszczony przez h0meLesS’a z grupy Enosis Team i zawierał następującą treść: HAXORED bY HOMELESS from ENOSIS TEAM. Omawiany problem udało się wykryć przez poszukiwania błędnego kodu na stronie Hoga, zaś plik został utworzony na serwerze, dzięki wykorzystaniu luki w PHP oraz wgraniu BindShell’a. Oczywiście administrator serwisu Hoga.pl został wcześniej poinformowany o występującym błędzie.

Na koniec dodam, że w serwisie randki.hoga.pl występowało jeszcze kilka błędów m.in.: jednym z nich było złe przyjmowanie argumentów w zmiennej „qpage=” gdzie mamy możliwość wywołania dla przykładu następującego adresu: http://randki.hoga.pl/index.php?qpage=http://www.onet.pl/

Administrator serwisu poprawił już błąd stąd brak dostępu do pliku oraz możliwości wywołania powyższego zapytania.