Banner.ua продолжение эпопеи

Хочу продолжить тему /ru/forum/508194

К сожалению, в связи с тем, что она слишком давняя, запостить свой камент в неё не могу. Однако, в связи с тем, что на сколько я вижу, ситуация не поменялась ещё с 2006-го, хочу высказаться.

Я поддерживаю топик стартера, что в компании banner.ua не все так просто, как вам кажется на первый взгляд.

Мне отказали в выплате, и сумма была достаточно большой, но я не хочу вдаваться в детали, поскольку хочу остаться инкогнито. Не известно еще, с какой братвой связан г-н Максимович (если он ещё представляет banner.ua).

Вобщем, я решил посмотреть как все построено. А чего уже терять, не страшно, даже если и забанят?

Прежде всего, хочу отметить, что на офф сайте присутствует возможность проникновения при помощи SQL инъекции. Что позволит вашему юзеру сделать себя админом. После этого я долго не мог понять, где у них адинка. После долгих поисков я пришел к выводу, что она либо где-то на отдельном домене, либо её как таковой вообще не существует, потому что сразу появляются дополнительные пункты меню. После того, как вы заделались админом, вы получаете все карты в руки: вы можете от имени любого пользователя сделать на сайте что угодно.

Как оказалось, приблизительно раз в 5-6 минут данные по показам магическим образом меняются на правильные, то есть если вы при помощи все той же SQL инъекции накрутили себе показы простым изменением в БД, через некоторое время вернутся прежние. Возможно это просто мне так попало. То есть скорее всего у них возникают какие-то сбои и система делает откат к предыдущим значениям. А за это время все ваши показы аннулируются. Однако какая разница, главное, что деньги можно свободно накрутить через БД и они останутся без изменений.

Так что дерзайте юные хакеры. Небольшая подсказка: SQL - инъекция в юзер агенте проканывает на ура.

2 г-ну Максимовичу: не считайте себя умнее других.