Velocidade e perigo do fluxo de informações na internet.

Essa noticia é um exemplo classico das dimensões que a internet tomou e da rapidez do fluxo de informação na internet.

No dia 10/06, um dos sites que costumo acessar para ler noticias e ficar atualizado, noticiou o lançamento da versão 1.1 de uma ferramenta para acompanhamento de chamados.
O nome da ferramenta é WebChamado, e a noticia juntamente com o link para acesso ao projeto podem ser encontrados aqui

Rapidamente, nos dias 12 e 13 do mesmo mês, ou seja, apenas 2 dias depois do lançamento oficial da ferramenta, já foram descobertas duas vulnerabilidades criticas na ferramenta, que permitem SQL Injection e Escalada de privilegio na aplicação.
Você pode estar se perguntando, "mas porque alguem iria querer procurar "hackear" uma ferramenta que quase ninguem usa?"
A resposta é muito simples.
Só para mostrar que pode ser feito.
Essa é a cultura Geek/Hacker do mundo em que vivemos. Nesse caso, não são bem hackers, e sim crackers.
E acredito que houve também uma motivação por algum tipo de disputa entre grupos, mas enfim... isso não vem ao caso.

O importante é alertar para velocidade com que as informações correm na internet. E até coisas que parecem sem sentido de serem feitas, são feitas!

Mas chegando na parte boa...
Como não sou baú para guardar segredo, vou disponibilizar os 2 exploits pra quem quiser testar.

SQL Injection

Arbitrary Add Admin Exploit

No link do SQL Injection, tem o arquivo onde se encontra a vulnerabilidade e a forma de explora-lo
Já no Arbitrary Add Admin Exploit, temos um programinha em pearl que faz todo o trabalho sujo pra você.
Depois disso é só esperar chegar no seu e-mail o password para acessar o sistema como admin.
Detalhe, o sistema é feito em PHP. Na verdade o problema não é ele ser feito em php, e sim a costumeira falta de cuidado dos programadores php com diversos aspectos de segurança.