Comune di Rivoli vulnerabilità varie sito web

La mia città è Rivoli, una decina di km da Torino, per altre infomrazioni consultate il sito del comune.

Qualche giorno fa finisco sul nuovo portale del comune http://www.comune.rivoli.to.it

Un bel sito dinamico asp che non passa la validazione XHTML per soli 1569 errori ma è soprattutto affetto dalle più comuni vulnerabilità web, dovute semplicemente al non utilizzo funzioni di filtro sull’input.

Ecco come si può rompere con facilità o un classico xss

xss

Ma passiamo alla ricerca, io da buon ignorante ignoro l’orario di apertura dello sportello postale più vicino a casa mia.

Cerco nel sito la parola “posta”

Vi lascio commentare da soli il risultato… ho tagliato la pagina perchè i risultati sono un centinaio.

posta a rivoli

Inoltre non capisco cosa rappresenti questo codice commentato all’interno della pagina Pagamento dell’Ici on line.

select ordinamento,titolo,’interna.asp?idArea=’+CONVERT(varchar, idAreaPadre) +’&idNews=’+CONVERT(varchar, id) as indirizzo,abstract from news where idAreaPadre=136 and id not in (616) and inCestino=0 and opzioni=2 union select ordinamento,titolo,indirizzo,abstract from qlink where idAreaPadre=136 and inCestino=0 and opzioni=2 order by ordinamento desc, titolo

Capirei si trattasse di un sito in sviluppo, un po’ di debug può sempre aiutare. A proposito le pagine di pagamento sono una ottima occasione per tentare un operazione di phishing

Cosa succede quando si clicca sul link per il pagamento? Non si entra ovviamente nel sito delle poste ma su un altro sito creato ad arte da qualche truffatore dell’est che nel giro di mezza giornata avrà già abusato dei dati che tu, utente pieno di fiducia verso un sito istituzionale, gli avrai passato. E la beffa ulteriore… è che l’ici non l’hai ancora pagata!!!

Il link a questa pagina è stato inviato al Responsabile Servizi Informatici del comune di Rivoli in modo che possa prendere i provvedimenti del caso, rispetto il lavoro altrui e non conosco gli sviluppatori, desidero solo che il sito istituzionale della città in cui vivo “funzioni”

Posted in Archivio at November 24th, 2007. 5 Comments.

warez ftp welcome msg

 Di seguito un ottimo messaggio di benvenuto adatto ad un server ftp contenente materiale “protetto”.

La linea dell’autore  dei termini di utilizzo è semplice: sul server è consentito l’upload di una copia in formato digitale di un opera in possesso dell’utente a fini di backup.

Il server è ovviamente ricco di materiale audio/video/software  prorietario. Giusto per ricordarsi i tempi antecedenti l’avvento del p2p , quando ancora il protocollo ftp era LA FONTE per  eccellenza.

[R] 220-This site is intended for people to store backups of software that they have PURCHASED
[R] 220-and don’t have enough room to store on their own computer. Under all licensing agreements,
[R] 220-it is legal to make ONE backup of the software you have PURCHASED. I am offering this
[R] 220-service FREE OF CHARGE to people who are unable to store their legal backups on their
[R] 220-Own computer.
[R] 220-
[R] 220-Downloading any program from this site that you have not PURCHASED is against the law and
[R] 220-this site and its owner assume no responsibility for your actions. If you do not have a
[R] 220-fully licensed copy of the program(s) or video(s) you download, you must delete them
[R] 220-from your computer.
[R] 220-
[R] 220-Everything found here is for backup purposes only.
[R] 220-
[R] 220-Members of any governmental or law enforcement agency are forbidden to use this server
[R] 220-and must log out immediately. Remember that the law DOES apply to you and it is a
[R] 220-violation of federal law to gain unauthorized access to any computer. If you are a member
[R] 220-of any governmental or law enforcement agency and are reading this notice, you have ALREADY
[R] 220-violated the rights of this site’s owner. YOU MUST LOG OFF NOW. Anything you do on this
[R] 220-site will be logged and used against you in a court of law.
[R] 220-
[R] 220-By logging onto this ftp site, you agree not to hold the site’s owner or any associated
[R] 220-parties liable for anything resulting from your actions on this site. If you do not agree
[R] 220 to these terms, YOU MUST LOG OUT NOW.

Posted in Internet at November 23rd, 2007. No Comments.

mysql processlist sleep locked

L’output delle seguenti istruzioni


echo "show processlist;" | \
mysql -s -u root --password="xxxxxxxxxx"| \
awk -v tot=0 ' {print $4; $tot=tot+1; \
print "in TOTALE"}'| \
grep -v NULL| sort | uniq -c | sort -n | less

restituisce una tabella (mal formattata ma rende l’idea) di due colonne contenenti il numero totale di connessioni in piedi per db ed il nome del db stesso, in fondo restituisce il numero totale delle connessioni stabilite.

Per settare il numero massimo consentito (dopo si presenta il classico too many connection ) si setta la variabile

max-connections

Può tornare utile come strumento di monitoraggio al volo.

La connessione una volta stabilita rimane in attesa di poter essere riutilizzata ( da un processo figlio di apache per esempio )

Se si vuole modificare questo paramentro settate il timeout in secondi che desiderate

interactive_timeout 28800

Se riscontrate errori sul numero di connessioni massime e notate query in stato locked potete AL LIMITE della disperazione affidarvi al comando

kill ID

L’ID lo recuerate da “show processlist”

Posted in Mysql at November 22nd, 2007. No Comments.