Allegro: wyciek kodu źródłowego niektórych plików PHP

Dochodzą nas dziesiątki zgłoszeń od użytkowników Allegro, że przeglądając serwis, zamiast widzieć sparsowany kod HTML, użytkownikom zwracane są do pobrania pliki z kodem PHP. Nie ma powodu do paniki (przynajmniej na razie) dane nie zawierają poufnych informacji takich jak hasła czy e-maile.

[fr0st]

Maciej psuje juz gdzieś indziej? ;-)

[majorponury]

@fr0st: efekt publikacji za pięć szesnasta.

[piotrasz]

@majorponury: Bardzo wątpliwe. Przypuszczam, że to sprawa adminów, a nie programistów... Nie wyobrażam sobie możliwości publikacji nieprzetestowanego kodu w przypadku tak dużej firmy.

[Siegel]

Ciekawe

[ozzie]

@Siegel: brakuje nagłówka X-Pay-Range

[platynek]

@Siegel: jak widac, nie znalezli jeszcze nikogo wartosciowego, skoro takie faile leca

[varez]

Allegro do dziś ma banalnego XSS-a, także spoko, skopany konfig serwera i trzymanie kodu w plikach *.inc po prostu PASUJĄ do ich stylu ( ͡° ͜ʖ ͡°)

[ozzie]

Ok widzę minusy, więc uzupełnie swoją wypowiedź. Kilkanaście lat temu częstą praktyką było nadawanie plikom php, które były dołączane do głównego programu rozszerzenia .inc. (Sam tak robiłem) Być może wywodzi się tak z przyzwyczajeń np. osób wcześniej piszących w C, gdzie pliki, które dołączało się do programu nadawano rozszerzenie .h.

To było tak dawno, że pewnie obecni administratorzy nie pamiętają tych czasów i nie przyszło by im do głowy, że ktoś mógłby

[parsiuk]

@hind: ano to, że można je pobrać a .php zawsze przjdzie przez parser. No chyba, że ktoś popsuje serwer, jak tutaj. :D

[zegarmistrz001]

honorowy programista wiesza się z własnym programem ( ͡° ͜ʖ ͡°)

[ukradlem_ksiezyc]

@zegarmistrz001:

Ło matko, nie mam aż tylu żyć. A i tak już się u kotów zapożyczyłem na niezłą ilość. Niedługo zaczną mnie ścigać.

[tank_driver]

@zegarmistrz001: kapitalne!

[G.....o]

Oho, Maciej poszedł psuć Allegro xD

[zerthimon]

@Grzechoooo:

[saint]

To się chłopcy popisali ( ͡º ͜ʖ͡º)

[trawoolta]

Allegro pod względem bezpieczeństwa schodzi na psy. Dostaje sporo emaili wyłudzających dane logowania z emaili podrobionych chodź naprawdę trzeba sporo sie nagimnastykować aby odróżnić falsyfikat od regału. Nie ma gdzie tego zgłosić. Kompletnie z tym nie walczą bo jak gość straci kasę to nie ich sprawa. Kontak z allegro żaden.

[bagiennypotwor]

To jak już wyciekł kod, to może ktoś potwierdzić czy rzeczywiście hasła #szyfrujo czy dalej #oszukujo ?

[CrossX]

@bagiennypotwor: Nie wyciekł cały kod.

[Firo]

A się dziwiłem co to za syf mi się pobiera przy przeglądaniu allegro :)

[mentools]

Sól 3x dłuższa od hasła a php wycieka. A idź pan w h$@ z takim bezpieczeństwem...