mbank - jak pomanipulowac zmiennymi formularza tak by miec dostep do nieudostepnionych funkcjonalnosci ;-)

Path: news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!new
sfeed.gazeta.pl!news.astercity.net!news.aster.pl!not-for-mail
From: "WaSyL" <w...@r...megapolis.pl>
Newsgroups: pl.biznes.banki
Subject: mbank - jak pomanipulowac zmiennymi formularza tak by miec dostep do
nieudostepnionych funkcjonalnosci ;-)
Date: Sat, 28 Feb 2004 17:58:08 +0100
Organization: Aster City Cable
Lines: 16
Message-ID: <c1qhbd$1nl6$1@mamut.aster.pl>
NNTP-Posting-Host: 87-mia-8.acn.waw.pl
Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-2"
Content-Transfer-Encoding: 8bit
X-Trace: mamut.aster.pl 1077987501 56998 62.121.75.87 (28 Feb 2004 16:58:21 GMT)
X-Complaints-To: a...@a...pl
NNTP-Posting-Date: Sat, 28 Feb 2004 16:58:21 +0000 (UTC)
X-Tech-Contact: u...@a...pl
X-Priority: 3
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
X-Server-Info: http://www.aster.pl/news/
X-Newsreader: Microsoft Outlook Express 6.00.2800.1158
X-MSMail-Priority: Normal
Xref: news-archive.icm.edu.pl pl.biznes.banki:288536
[ ukryj nagłówki ]
"Osoby posiadające konto w mBanku mogą bez problemu poprzez odpowiednią
manipulację zmiennych poszerzyć swoje prawa użytkownika, co daje dostęp do
niedostępnych z założenia sekcji panelu, takich jak zmiana limitów dla kart
kredytowych, transakcji bezgotówkowych itp. Problem polega w głównej mierze
w samej metodzie przesyłania informacji poprzez formularze gdzie wysyłana
jest duża ilość informacji m.in.: każdorazowo imię, nazwisko, numer karty.
Kolejny problem dotyczy błędu SQL injection, który występuje na forum
mBanku. Zmienne (np. w "Szukaj") przekazywane były bezpośrednio do zapytań
bez dodania "slashy""

Wiecej:

http://hacking.pl/news.php?id=3423
http://www.codehack.pl/mbank.html