[echelon_]

Będzie coś o programowaniu bez programowania czyli jak pisać #!$%@? soft.

Moja firma kupiła ostatnio jakiś zewnętrzny system finansowy. Login to pesel, hasło było z kopert więc jak na razie wszystko bangladesh. Ja jakoś swojej koperty nie dostałem więc zapytałem HR czy dostanę hasło. Dostałem hasło mailem. I teraz się zaczyna.

Z głównej strony systemu nie można się zalogować. Niezależnie czy wpisze się dobre czy złe dane przekierowuje bez komunikatu na stronę główną i czyści formularz. Logowanie po HTTP (tak, psikuta bez S)

Nie mogłem się zalogować, oni sprawdzili i twierdzą, że wszystko śmiga. Jeszcze raz wysłali mi moje hasło mailem. Po drodze dowiedziałem się, że trzeba się logować na inny adres. Pod innym adresem wszystko śmiga i się zalogowałem. A że hasło w sumie krótkie ale jak dla upośledzonych bo prawie same znaki specjalne to szukam opcji zmiany hasła. Nie ma. Piszę do twórców. Nie ma takiej opcji w systemie.

Opieprzyłem za HTTP to powiedzieli mi, że jest HTTPS tylko trzeba coś kliknąć albo sobie ręcznie - z palca - URL podmienić.

Tak więc jest sobie system co stoi z dala od firmowej sieci, login i hasła latają plain textem po HTTP i tylko czekać aż ktoś znudzony odpali Wiresharka żeby dowiedzieć się ile zarabia prezes firmy.

Myślicie, że jest w dechę? Słabo. Kumpel nie miał hasła więc zadzwonił do firmy z pytaniem o hasło. Zapytali o mail. Dał prywatny więc na jego prywatny mail poleciało hasło do systemu.

1. Znajdź pesel Janka Nowaka, prezesa firmy.

2. Załóż konto [e-mail]

3. Zadzwoń do dostawcy softu, że chcesz nowe hasło, podaj adres mailowy z dupy.

4. Dostań hasło, zaloguj się do systemu.

5. ???

6. Profil

Nazwy firmy nie będzie z litości. Mam nadzieję, że imbecyle szybko soft naprawią.

tl; dr


#programowanie

[g.....2]

@echelon_: Dej nazwę firmy bo nie będzie plusa

[echelon_]

@geomag42: Nie, nie dam.

Jakbym chciał chwały to bym wrzucił mięsko na Niebezpiecznika.

Kto wie, może to zrobię } : - >

[buuba]

@echelon_: u mnie w firmie jest taki #!$%@? soft że żada operacja trwa od 20 sek do 3 minut a żeby wykonać jakieś proste zadnie trzeba takich operacji wykonać z co najmniej 15, czasami mozna poprostu zejść ze #!$%@? jak wszystko się zawiesi na dłuższa chwilę ale co tam są tacy co nadal twierdza że to zajebisty system jest i szał w #!$%@?.

[k.....n]

@echelon_: w mojej firmie panel logowania ma lukę CE, zgłaszałem 3 razy, za każdym razem twierdzili, że jest spoko. zwiększyłem sobie ilość dni urlopu. ale tylko o 15dni.

[echelon_]

@buuba: I ja się zastanawiam kto komu pod biurko wlazł albo dupy dał, że takie softy są w firmach.

[buuba]

@echelon_: nie wiem kto komu dał dupy ale ci co piszą tak #!$%@? soft powinni zmienić branżę, bo jestem w stanie zrozumieć jakieś "podwórkowe" projekty co są wcale nie zoptymalizowane ale system na którym opiera się wielka firma powinien być porządny i projektować go oraz tworzyć ogarnięte osoby

[S.....s]

1. Znajdź pesel Janka Nowaka, prezesa firmy.

2. Załóż konto [e-mail]

3. Zadzwoń do dostawcy softu, że chcesz nowe hasło, podaj adres mailowy z dupy.

4. Dostań hasło, zaloguj się do systemu.

5. ???

6. Profil

@echelon_: panie przed atakiem socjotechnicznym nigdy się nie da w 100% zabezpieczyć

[echelon_]

@Skarfejs: No tak, ten kawałek to zacytowałeś to akurat atak socjotechniczny ale HTTPS czy brak możliwości zmiany hasła już nie.

[biczek]

@echelon_: Nie naprawią.

[echelon_]

@biczek: To zainstaluję wiresharka ;)

[biczek]

@echelon_: Polecam allegrowicza ;) Nawet supertajnewebserwisy można dzięki niemu implementować :D

[t.....r]

@echelon_: oni to normalnie jako produkt sprzedają, czy to było pisane na zamówienie?

[y.....f]

@echelon_: daje plusika nawet za samo info w spoilerze.

[Rad-X]

@kradzionyLogin: Co to jest CE?

[ludzik]

@echelon_: Spoko, u mnie wdrażają kontroling, co jest po prostu skokiem na kasę. Przełożony naliczył z 10 firm, które się przy okazji tego pojawiły. Do tego na spotkaniu testowym mało co działało i było to w stanie "studenckim", dodatkowo tłumaczone że przenieśli dzień wcześniej system na inny serwer i tam okazało się, że połowa rzeczy nie działa. Ogólnie wrażenie jest takie, że te firmy robiące ten kontroling dopiero się uczą i

[wkrk]

@echelon_: a jak coś się spierdzieli, to prezes powie "Czemu nikt nie mówił, że słaby system, od czego ja was mam?!" :/

[Denx]

@echelon_: Hehe w Norwegi do 20XX mozna bylo sprawdzac dochody kazdego, wystarczylo posiadac numer osobowy XDD

[k.....n]

@Rad-X: Ah literka mi się nie wcisnęła, RCE, remote code execution

[v.....x]

To zainstaluję wiresharka

@echelon_: jeśli używacie wifi to spoko, ale na skrętce będziesz potrzebował dostępu do switcha i port z mirroringiem, albo jakiś atak, który go przełączy w tryb huba. Pakiety TCP lecą tylko między portami, które mają nawiązane połączenie.

[z.....n]

więc jak na razie wszystko bangladesh

@echelon_: co to znaczy?