Skolski e-dnevnik i sigurnost?!

[salebab]

Originalno napisao ednevnik

Naime dve skole koje se navode sa propustima u bezbednosti nemaju nikakve poslovne veze sa projektom Elektronskog Dnevnika

Te dve navedene skole su prve dve u vasoj listi osnovnih skola beogradskog okruga kojima ste uveli taj sistem. Logican zakljucak da ste im vi uradili taj sistem. Zar ne?
Sad vidim da su ostale skole na tom drugom sistemu. Ali zasto onda ja kao obican surfer mogu da napravim gresku u SQL upitu pored 5 programera i 20 strucnih saradnika?

[ednevnik]

za Saleta:

hvala na razumevanju, stavicemo u zagradu kod listinga za te skole da nisu deo naseg sistema, niko nije imao u vidu da moze doci do negativne slike o bezbednosti naseg projekta, upravo smo imali nameru da bez averzije prikazemo sve skole koje koriste bilo koja e-dnevnik resenja.

Sto se tice pitanja i losih upita za tekuce baze na nasem serveru prosledjeno je php administratoru, koliko vidim radi se o losem sql upitu bez nekih razloga za veliku brigu, da li je zelja bila da se vide sve skole na serveru ?
Inace sada je stanje takvo da skole-korisnici projekta tek od 01. otkobra krecu sa primenom projekta i trenutno nema nijedne skole na serveru sa ocenama (sve se brise 01. septembra iz prethodne sk. godine) i sada se vrse pripreme za novu sk. godinu.

Sandra

[LiquidBrain]

Originalno napisao ednevnik

Sto se tice pitanja i losih upita za tekuce baze na nasem serveru prosledjeno je php administratoru, koliko vidim radi se o losem sql upitu bez nekih razloga za veliku brigu, da li je zelja bila da se vide sve skole na serveru ?

Sandra

Veruj mi da tu ima velikih razloga za brigu...

[STELLANOVA]

Ajd vec kad kritikujes daj razlog konkretno zasto mislis tako, ovo je cista glupost da kazes :

"Veruj mi da tu ima velikih razloga za brigu..."

ako znas nesto onda kazi zasto tako mislis a ne da napises da bi napisao....

[LiquidBrain]

Pa recimo cela struktura baze moze da se mapira na osnovu tog propusta... A samim tim mogu i da izvicem podatke iz baze vezane za autentifikaciju, koristeci union izraze. A cak ni nemora union moze jedan obican select...

primer:
id = (select 1 from blabla)

gde blabla, predstavlja ime tabele...
btw. nije ovo full disclosure pa da se toliko raspishemo...

[LiquidBrain]

Originalno napisao salebab

Te dve navedene skole su prve dve u vasoj listi osnovnih skola beogradskog okruga kojima ste uveli taj sistem. Logican zakljucak da ste im vi uradili taj sistem. Zar ne?
Sad vidim da su ostale skole na tom drugom sistemu. Ali zasto onda ja kao obican surfer mogu da napravim gresku u SQL upitu pored 5 programera i 20 strucnih saradnika?

Nemoj tako... to se desava kada Id parametar nije setovan... hihihi...

I ja sam nesto razmisljao o samoj sigurnosti te aplikacije... ali me totalno mrzi i da pogledam o cemu se radi... i cela fama oko e-dnevnika mi je glupa... verujem da se tako kvari odnos poverenja izmedju roditelja i deteta...

[Miloje Sekulic]

Originalno napisao LiquidBrain

verujem da se tako kvari odnos poverenja izmedju roditelja i deteta...

Vec vidim zlog hakera koji upada u dnevnik i klincima masovno daje keceve i upisuje goooomile izostanaka, matorcima stizu SMS-ovi, oni lese klince i ukidaju dzeparce, klinci demonstrativno odlucuju da vise ne koriste racunare i ne idu na internet i Srbija jos vise informaticki zaostaje za svetom...

[LiquidBrain]

E bre Miloje sto si takav bukvalista... Zar ne mislish da bi roditelj pre svega trebalo da ima poverenja u svoje dete, kako bi bilo i obrnuto...

[bluesman]

Ja vidim klince koji menjaju keceve u dvojke I vidim roditelje koji deci menjaju dvojke u cetvorke Vidim citavo jedno trziste ovde, pravi procvat interneta

^ that's the spirit... pravi jedan optimizam

[japan]

ovaj propust je toliki da ce ga iz aviona videti svako ko je u zivotu napisao bar jedan sql query.

stvarno ne vidim potrebu da se kace shot-ovi, i to sa sve punim podacima te dece.

sem ako je dpt nasledio [es]::defaced, onda da i ja okacim shot?