Newsgroup: it.lavoro.informatica
Titolo: Un capolavoro

Il Teatro Sistina a Roma: chi non lo conosce?
Eppure, da un teatro così prestigioso ci si aspetterebbe una migliore scelta 
dei fornitori di servizi informatici.
Partendo dal sito principale (
http://www.ilsistina.com
), selezionando la 
sezione "Botteghino" e cliccando sulla voce "Biglietteria on line a cura di 
Charta s.r.l.", si viene rimandati ad un sito che con il teatro Sistina 
sembra avere a che fare ben poco: 
http://www.leonidaniele.it/teatri/sell_home_pages/108.php?ocode=108
.
Comunque, sulla pessima figura a livello di immagine che deriva da una 
simile URL si può anche sorvolare... ma sulla pessima programmazione del 
sito in questione, proprio no, dato che comporta un problema di privacy (e 
probabilmente sicurezza) non indifferente.
Dalla pagina principale, clicchiamo su "acquista on-line" e scegliamo uno 
spettacolo a piacere; selezioniamo il posto e confermiamo; arriveremo ad una 
pagina dove inserire i propri dati anagrafici.
E qui sta la prima fregatura.
Gli autori del sito, nella speranza di facilitare la vita all'utente, hanno 
inserito una funzione per richiamare immediatamente tutti i dati personali
forniti in precedenza, semplicemente inserendo il proprio codice fiscale.
Senza nessuna autenticazione. Di nessun tipo. Quindi, inserendo il codice 
fiscale di una persona già presente in archivio, si può risalire a
informazioni riservate come indirizzo, numero di telefono, e-mail e data di 
nascita.
Veramente splendido.
Ma la fregatura è doppia.
Chi ha scritto il codice per questo sito è una vera bestia, in quanto non ha 
inserito alcun controllo sul campo "codice fiscale", dove si può inserire 
una stringa di testo a piacere. Inclusa una che contenga comandi SQL.
Questo, oltre ovviamente a permettere la manipolazione del sito a chiunque 
conosca un po' di questo linguaggio, pone un problema di privacy ancora più 
grande del precedente; il linguaggio SQL, com'è noto, consente l'uso di 
wildcard all'interno delle query, e quindi di effettuare ricerche in base a 
parti di parole in un campo di una tabella. Ad esempio, proviamo ad inserire 
una lettera a caso seguita dal carattere "%", che in SQL indica un testo a 
piacere.
Inserendo il codice fiscale "m%", ecco che abbiamo a disposizione un bel po' 
di dati personali su tal Giovanni Mazzocchi, di Roma.
L'utilizzo più interessante, però, è nel caso in cui conosciamo nome e 
cognome di una persona e vogliamo sapere di più su di lei. Voilà: prime tre 
consonanti del nome, prime tre consonanti del cognome, un simbolo di 
percentuale e, se lo sfortunato ha mai comprato biglietti per il Sistina 
attraverso questo sito, sappiamo tutto di lui.
Un vero capolavoro di programmazione.
Massimo
(segnalazione inviata al Garante per la Privacy)

 Il Teatro Sistina a Roma: chi non lo conosce?
E non è tutto.
Pare che la Charta s.r.l. gestisca le prenotazioni per un gran numero di 
teatri e posti del genere... basta andare su 
http://www.charta.it
 per 
verificare.
E poi, se ci si vuole divertire, basta tentare di acquistare un biglietto 
per uno qualsiasi degli spettacoli disponibili, per arrivare di nuovo allo 
stesso, infame form di cui sopra.
Un plauso.
Massimo

 (segnalazione inviata al Garante per la Privacy)
MA SEI PAZZO!!!!
AL GARANTE DELLA PRIVACY!!!!
MA QUELLO E' OCCUPATO CON LE LUCETTE DEI TELEFONINI!!!!!!!
mah certo sei proprio cattivo!!!
:-)))))))))))))))))))))))))))))))))))))))))))))
btw hai fatto benissimo... scherzi a parte credo sia inutile
poi fai te..

 Un vero capolavoro di programmazione.
Grazie della segnalazione! Dire vergogna e' poco. Per questo motivo,
nonostante io abbia un'assoluta convinzione che l'informatica possa
semplificare non poco la vita, mi fido poco di molti dei siti italiani e
difficilmente acquisto o lascio i miei dati on-line.
Che dire, l'avranno commissionato a qualche coccode' a 500 euro bimestrali
:-(
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 poi fai te..
triste realta'
felice_pago
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 poi fai te..
Guarda che il garante non è l'abuse.
In ogni modo, niente vieta di prendere un po' di questi nominativi e 
segnalare direttamente a loro la situazione. Se loro denunciano parte di 
sicuro il procedimento, essendo parte lesa.

 ha scritto nel messaggio
news:ctp9jf$1ip3$1...@newsreader2.mclink.it...
[cut]
Hai segnalato la cosa a Charta SrL ?
IMHO, la prima cosa che dovevi fare, come da deontologia di qualunque
security manager.
La SQL injection è problema noto e molti siti hanno questo problema,
comunque ti dico che per quanto trovi ridicolo il sito e pericolosa la cosa
, la tua "disclosure" - parlandone in ng, diffondendo la tecnica per
l'exploit, il nome e cognome di una persona - che potrebbe denunciarti per
violazione privacy (ricordati che non vale a giustificazione il fatto che
l'hai "trovato" facilmente) sempre e rigorosamente IMHO non è stata una
buona scelta...
saluti

 Hai segnalato la cosa a Charta SrL ?
Questo "exploit" è già stato segnalto ieri su un altro NG e, l'autore di
quel post, aveva detto di aver contattato Charta ma aver ricevuto, come
risposta, un laconico 'Abbiamo passato a chi di dovere'. Questo parecchio
tempo fa.
marcos

 ha scritto nel messaggio
news:s40Md.484204$b5.22...@news3.tin.it...

Allora ha fatto benissimo, escluso il pubblicare su NG il nome di
quell'incolpevole utente.

 La SQL injection è problema noto e molti siti hanno questo problema,
Anni fa' (1999) per caso mi imbattei (per caso, errore di battitura in 
tastiera) simile in un sito dove una pubblica amministrazione gestiva 
una anagrafe nazionale. Segnalai loro immediatamente la cosa, con il 
risultato che non mi hanno mai risposto e che almeno per altri 2 anni 
quel sito ha presentato sempre lo stesso tipo di (mal)funzionamento. Ad 
un certo punto cambiarono l'interfaccia del sito, e da allora non ho più 
provato a vedere se fosse possibile una qualche SQL injection.
-- 
ale - 
http://www.sen.it
È in corso la CFV per per *it.comp.lang.csharp*, Si può leggere il
manifesto su news:it.news.annunci o news:it.news.votazioni 

 Un vero capolavoro di programmazione.
Eh già.
Ci vorrebbe proprio una bella lezione a chi ha fatto una cosa del genere 
(dite che sarebbe esagerato un licenziamento?).

(dite che sarebbe esagerato un licenziamento?).
Se va bene chi ha fatto quello scempio era un coccode' a 100E al mese
e non lavorera' li' da almeno un anno :-(
Il solito pasticcione insomma.
-- 
Legge di Flon
Non c'e' linguaggio in cui sia difficile scrivere cattivi programmi.
FAQ del gruppo : 
http://www.sen.it/faq/it.lavoro.informatica.faq.html
 
http://www.duestrade.it/HOWTO_leggere_annunci.html
 
http://www.duestrade.it/HOWTO_mettere_annunci.html
   --- 
sbo...@despammed.com
 ---

 ha scritto nel messaggio
news:ctp9jf$1ip3$1...@newsreader2.mclink.it...

Visto che non mi piace stare con le mani in mano, soprattutto di fronte a
una simile vergogna, mi sono adoperato a ricavare qualche nome a caso dal
sito in questione e li ho avvertiti tramite e-mail, qualcuno mi ha già
risposto che agirà di conseguenza....staremo a vedere.
Che la forza sia con te
Claudio

 Il solito pasticcione insomma.
Mi sa che hai proprio ragione.

 ha scritto nel messaggio
news:ctp9jf$1ip3$1...@newsreader2.mclink.it...

Il sito in questione non è più affetto da SQL injection...evidentemente
qualcuno si è fatto sentire.
Resta il fatto che se si conosce il codice fiscale esatto di una persona si
può facilmente risalire alle sue informazioni personali.
Comunque....un piccolo passo è stato fatto.
Che la forza sia con voi
Claudio

 Comunque....un piccolo passo è stato fatto.
Beh, è già qualcosa :-)
Almeno si sono mossi in tempi rapidi.

 security manager.
Certo.
Peccato però che non ci sia nessun riferimento tecnico sul sito, ma solo un 
banale 
in...@charta.it
.
Massimo

 La SQL injection è problema noto e molti siti hanno questo problema
Aggiungo: qui c'è un problema di design a monte.
Trovo semplicemente *folle* che basti inserire il codice fiscali di una 
persona qualsiasi, che, com'è noto, è facilmente calcolabile, per venire a 
conoscenza di dati quali indirizzo e numero di telefono.
Ci fossero solo nome, cognome, data di nascita e città di residenza, potrei 
accettarlo: quei dati sono impliciti nel codice fiscale, quindi se uno lo 
conosce allora conosce (o può ricavare) anche quelli.
Ma che basti il CF per avere accesso a tutto, senza nemmeno uno straccio di 
password, mi sembra una boiata immane.
Questo al di là dell'SQL injection, ovviamente.
Massimo

 Aggiungo: qui c'è un problema di design a monte.
Uno?
Anche secondo logica: se devo acquistare qualcosa in un qualsiasi sito, 
prima mi identifico e alle mie credenziali sono associati i miei dati 
anagrafici. Non è che devo essere io a decidere i miei dati anagrafici 
scegliendo fra tutti quelli registrati (con la possibilità di agire 
premeditatamente per conto di un'altro, o più banalmente sbagliare). E' 
proprio la logica che trasuda di "Corrida - dilettanti allo sbaraglio".
Non credo importasse essere lider dell'ecommers, bastava farsi un giro 
per vedere a spanne come funzionano gli altri.

 Trovo semplicemente *folle* che basti inserire il codice fiscali di una
ma hai solo ragione, ti faccio i complimenti...( per tua info se guardavi la
sezione Help trovavi questa mail : 
Supporto_t...@charta.it
 , forse
piu' letta della classica info@ )
Inoltre mi ha fatto specie leggerti perche' proprio in questi giorni ci sono
molte proteste sull'edizione locale di Repubblica (bologna) perche' Charta
SrL fa pagare commissioni allucinanti, sbaglia i calcoli online di chi ha
diritto a sconti per gli spettacoli, insomma una marea di lamentele pure sul
servizio :-|

 servizio :-|
Beh, se la serietà si vede da come hanno sviluppato il sito (che tra 
parentesi è il loro core business)...
Massimo

 Cxxxxx s.r.l.", 
nel teatro della mia citta', a prescindere
dalla sql injection, hanno avuto problemi
a non finire limitandosi alla pura
biglietteria...
Adesso le cose sono andate a regime, ma
dopo anni e anni...
Mi riesce sempre difficile capire come il
mercato premi con pericolosa sistematicita'
prodotti di livello non eccelso.

 conoscenza di dati quali indirizzo e numero di telefono.
pochi anni fa l'ha fatto il ministero, e
si poteva vedere lo stipendio della 
persona in questione (anche il mio, tra
l'altro :-) ).
Ho segnalato la cosa al garante (e non
solo a lui) con riscontro zero.
IMHO in tutti questi anni il caro Rodota'
ha sollevato tanti polveroni ma la 
situazione complessiva mi sembra assai
peggiore adesso di un tempo.
Con la beffa, dopo il danno...

 e non lavorera' li' da almeno un anno :-(
io ho provato da acquirente i primi loro
prodotti off-line tanti, tantissimi anni 
fa, e quindi non mi meraviglierebbe se il
codice l'avesse scritto il titolare...
BTW il comico Gianni F. (che a me non fa
ridere) una volta scriveva software.
E dicono che - almeno in quel caso - fosse
davvero esilarante...

 molte proteste sull'edizione locale di Repubblica (bologna) perche' Xxxx
Allora credo di aver capito come ha fatto ad
avere tanti appalti: basta vedere la geopolitica
dei teatri comunali italiani... :-)

 Massimo
Ahahahah!!, carissimo, il plauso lo facciamo noi a te!!
Leggere tutto questo è stato a dir poco divertente ed emozionante!
Complimenti per il tuo assessment, davvero!! :-)
Ciao
Roby

 sistematicita' prodotti di livello non eccelso.
Il ceco che guida al ceco?
-- 
Pepe
Milano, Italy


Massimo, complimenti per la prosa....magari se segnalavi che la scoperta del
baco è stata segnalata casualmente 2 giorni prima su
it.lavoro.professioni.webmaster facevi una miglior figura!!
Rainbow


 it.lavoro.professioni.webmaster facevi una miglior figura!!
Se l'avessi saputo, ti assicuro che non avrei omesso di segnalarlo :-)
Comunque non l'ho scoperto io, ne sono venuto a conoscenza da alcune 
discussioni sui forum di MC-Link (argh, odio il termine "forum", per me è 
ancora la BBS :-))) ).
Massimo