Desarrolladores inocentes...
Desarrolladores inocentes
Hoy tengo el día travieso...
En un momento de pocafeina, he decidido dar una "vuelta" por webs a ver que encontraba. Al final he visto una de una empresa que tenia un bonito apartado llamado "Login clientes", asi que me ha dado por jugar con el.
Lo primero que intento es poner el carácter ' a ver que pasa... y ¡oh! ¡sorpresa! no me deja ponerlo. ¿Que raro no? Miro que caracteres se permiten y veo que la gran mayoría pero no todos, así que intento escribir algo dentro del campo de username y hago copy-paste.
Funciona, asi que vamos a hacer otra cosa:
BLOC DE NOTAS
pepe'
ctrl+c
ctrl+v
Click en botón de login
Error:no se puede cargar la pagina
Interesante :D:D:D Asi que en el block de notas pongo el clásico ' or 'z'='z y lo pasteo en el username y el password. Click de la muerte y ¡HOP! estamos dentro...
No es la primera vez que me encuentro con cosas asi :( Por alguna extraña razón la gente piensa que una validación en el cliente es mas que suficiente, lo cual es totalmente falso. Un dato que proviene del exterior del servidor siempre se ha de tomar como hostil hasta que se demuestre lo contrario. En caso contrario estaremos pidiendo a gritos que nos hagan un DROP TABLE USERS o similar ;)
Hoy tengo el día travieso...
En un momento de pocafeina, he decidido dar una "vuelta" por webs a ver que encontraba. Al final he visto una de una empresa que tenia un bonito apartado llamado "Login clientes", asi que me ha dado por jugar con el.
Lo primero que intento es poner el carácter ' a ver que pasa... y ¡oh! ¡sorpresa! no me deja ponerlo. ¿Que raro no? Miro que caracteres se permiten y veo que la gran mayoría pero no todos, así que intento escribir algo dentro del campo de username y hago copy-paste.
Funciona, asi que vamos a hacer otra cosa:
BLOC DE NOTAS
pepe'
ctrl+c
ctrl+v
Click en botón de login
Error:no se puede cargar la pagina
Interesante :D:D:D Asi que en el block de notas pongo el clásico ' or 'z'='z y lo pasteo en el username y el password. Click de la muerte y ¡HOP! estamos dentro...
No es la primera vez que me encuentro con cosas asi :( Por alguna extraña razón la gente piensa que una validación en el cliente es mas que suficiente, lo cual es totalmente falso. Un dato que proviene del exterior del servidor siempre se ha de tomar como hostil hasta que se demuestre lo contrario. En caso contrario estaremos pidiendo a gritos que nos hagan un DROP TABLE USERS o similar ;)
