Skip to content

Instantly share code, notes, and snippets.

@aivis

aivis/e_maks.lv.md Secret

Last active December 5, 2018 08:33
Show Gist options
  • Star 1 You must be signed in to star a gist
  • Fork 0 You must be signed in to fork a gist
  • Save aivis/b45f2f0d3badac223678 to your computer and use it in GitHub Desktop.
Save aivis/b45f2f0d3badac223678 to your computer and use it in GitHub Desktop.
Download ZIP
Raw
e_maks.lv.md

Parolu nomaina VISIEM e-maks.lv lietotajiem

  • Izveidojam kontu e-maks.lv
  • Izveidojam sesiju sim kontam
  • Veicam POST request uz https://e-maks.lv/user/{user_id}/edit ar jauno paroli uz jebkuru lietotaja {user_id}
  • Zinot to, ka lietotaja ID veidojas augosa seciba - varam nomainit PAROLES visiem lietotajiem, bez to sesijas vai apstiprinajuma
  • kad paroles nomainitas visiem lietotajiem
  • varam veikt jebkadas darbibas ko iespejams realizet e-maks.lv

Problema ir taja, ka nekada veida netiek parbaudits vai konkreta lietotaja sesija sakrit...

Heartbleed

Izrietosas sekas jau ir atkarigas no katra konkreta uzbruceja...

https://twitter.com/AivisSilins/status/456719580702834688 https://twitter.com/AivisSilins/status/456719802736730112

  • Laiks kas tika paterets 10min

papildinats:

Ienaca prata ari 2 veids, ka varetu parnemt lietotaju kontus.

Ja, pareizi atceros, tad mainot paroli netika prasita si briza parole. ar XSS mes veiksmigi varam nozagt sesijas ID, izveidot to sava puse un nomainit esoso paroli.

P.S. Neesmu par to parliecinajies - bet tam vajadzetu stradat.

@aivis
Copy link
Author

aivis commented Apr 17, 2014

@aivis
Copy link
Author

aivis commented Apr 17, 2014

Pienemot, ka sobrid jau visam vajadzetu but salabotam (cert.lv sanema informaciju jau dienas sakuma).

Kapec publiceju sadu informaciju?

  • Jutu specigu nekompetenci valsts IT projektu izstrade. (spriezot pec vairakiem atgadijumiem)
  • Jutu specigu nekompetenci no konkreta projekta izstradatajiem un to ka vini rikojas pec tik kritisku zinu sanemsanas (gan no possible.lv, ...)

Savukārt “Rīgas kartes” mārketinga direktors Aleksandrs Brandavs “Delfiem” sacīja, ka par šādu problēmu dzird pirmo reizi un to, ka kāds nesaistīts uzņēmums nāk klajā ar šādiem paziņojumiem nosauca par “stulbumu”, norādot, ka tādas norēķinu sistēmas ir jāapstiprina Finanšu un kapitāla uzraudzības komisijai, tādēļ šī iestāde un CERT.LV ir vienīgās, kam “Rīgas kartei” ir jāatskaitās par sistēmas drošību.

http://www.pietiek.com/raksti/amerika_partijas_biedrs_brandavs_pasvaldibas_uznemumos_pern_sanemis_gandriz_100_000_latu
https://defense.lv/2014/04/16/e-talonu-apmaksas-sistema-atklaj-drosibas-caurumu/
http://www.delfi.lv/news/national/politics/e-talonu-apmaksas-sistema-atklaj-drosibas-caurumu.d?id=44406833

P.S. Es nejutos drosibas eksperts - tapec gruti iedomaties, ko cilveki ar specializetam zinasanam varetu veikt un atklat.

@briedis
Copy link

briedis commented Apr 17, 2014

XSS atrašana man arī prasīja ~ 5-10min no reģistrācijas brīža... Nožēlojams pasākums, tas e-maks

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment