Altri siti di Partiti Politici vulnerabili…

Avevo deciso si stare buono buonino, visto l’inizio della mia collaborazione col Punto Informatico, ma visto che iniziano loro posso mettermici anche io…

Sito web del Partito Democratico bucabile? Dopo aver letto il blog di Roberto Scaccia, che ha scoperto che con due click del mouse riesco a visualizzare nel browser il file web.config (il file di configurazione della web application del PD in cui sono contenuti i codici di access) non ci sono un gran che di dubbi… Ma per par condicio sono costretto a confessare che non sono né gli unici né, forse, quelli messi peggio.

Un’oretta a giochicchiare (nulla di stratosferico, sia chiaro) e troviamo un po’ di altre realtà da controllare, tra il ludico e l’assurdo

xss_radicali.jpg

Iniziamo con i Radicali che sembrano proprio, grazie ad un xss nella forma più grezza desiderare “Paperino al Governo”… Buon per loro, visto che potrebbe essere meno peggio di tante altre scelte che abbiamo a disposizione… Oltretutto esistono filtri in ballo che rendono difficile utilizzare javascript nella pagina. Il tutto si riduce quindi a qualcosa di semplicemente goliardico da parte di chi dovesse usare la pagina…

xss_pd.jpg

Sempre il Partito Democratico sembra avere ancora enormi problemi anche di url sanitization e richiama fantomatici form quando appare un apicino strategico…. Che dire, tra questo ed il problema segnalato da Scaccia credo proprio che siano tempi duri per DOL, la società che ha curato la realizzazione e di cui trovate estremi di riferimento alla pagina del loro sito. Potete provare a sentirli in merito alle politiche di secure coding

xss_udeur.jpg

Molto, molto molto più pericolose invece le vulnerabilità sul sito dell’UDEUR che decide di spiegarci con un esempio da manuale cosa sia la SQL Injection, riportandone una perfetta implementazione direttamente nel sito… Che dire? One Apostrophe to rule them ALL?!?!?! In questo caso le voragini di Sicurezza sembrano da imputare a Neikos, la società di Senigallia che potete contattare a questi recapiti.

xss_rauti.jpg

Si potrebbe andare avanti dicendo che anche in casa Rauti esistono problemi di sql injection, ma probabilmente qui hanno dalla loro il fatto che il sito web è stato fatto da un piccolo studio, quel Pino Mannarino che pare essere il titolare di StyleFactory.

Ne ho ancora un bel po’ in canna, ma vediamo se questi sono per ora sufficienti…

Sia chiaro, non sono per nulla tecniche da hacker, ma semplici e banali apicini posizionati a destra e manca che qualunque idiota (me compreso) può mettere e destra e sinistra… Per il resto fa impressione vedere come società come DOL, Neikos e StyleFactory possano programmare all’alba del 2007 siti che non abbiano (non dico che le società non l’abbiano, constato non l’hanno i siti web) la benchè minima implementazione non solamente della sicurezza web ma anche e semplicemente del secure coding e dell’input sanitization

Che dire? “Uelcom tu Itali, spaghetti, pizza, arp spoofing e web application p0rn”.

Al solito lasciate commenti o contattatemi :).

P.S. Ciao a tutti quelli che arrivano qui partendo dai link del Punto Informatico P.P.S. Ho eliminato i link diretti alla vulnerabilità… Ma se mettete un apicino qui e la la ritrovate :)

[tag]bucabile, vulnerabilità, partito, udeur, rauti, partito democratico, pd, neikos, dol, sito web[/tag]

Autore:

Le università italiane passano al cloud. Con quali garanzie?

Oggi grazie a Yanfry scopro una conversazione interessantissima sulla mailing list di Nexa a firma del Prof.Luciano Paccagnella, Professore Associato di Sociologia dei processi culturali nel Dipartimento di Culture, Politica e Società dell’Università di Torino: gli atenei italiani e tra I primi Torino stanno dismettendo i loro servizi di posta elettronica migrando su Gmail (ma […]