Strony Tlenofon.pl podatne na atak SQL Injection

Na stronach Tlenofonu, która jest usługą portalu o2.pl i komunikatora tlen.pl występował dość poważny błąd pozwalający na dowolną modyfikację zapytań w bazie danych.

Błąd, który został znaleziony występował w skrypcie obsługującym dział FAQ na stronie tlenofon.pl.

Z powodu braku kontroli nad przesyłaną informacją znajdującą się w zmiennej nr istniała możliwość „wyjścia” z polecenia SQL – wprowadzając swój własny kod do zmiennej nr gdzie wówczas można było bez problemu dodawać, modyfikować bądź, co gorsza usuwać dowolny wpis w bazie danych.

Podstawiając pod zmienną nr odpowiedni kod:

nr=0’%20UNION%20SELECT%200,’Co%20mam%20zrobic%20gdy%20na%20stronie%20znajde%20powazny%20blad%20SQL%20injection%20?’,’Wyslac%20info%20do%20Hacking.pl%20:)’/*

w efekcie który wyświetlał na stronie informacje: „Co mam zrobic gdy na stronie znajde powazny blad SQL injection ? Wyslac info do Hacking.pl”, a to wszystko bez potrzeby modyfikowania informacji już znajdujących się w bazie danych. Poniżej zrzut z ekranu przedstawiający wyświetlenie przekazanych informacji:

Źródło informacji: Hacking.pl wspólnie z Mariuszem Dalewskim