Sto seguendo con curiosità questa vicenda di “hackeraggio” o di presunto tale. In realtà la faccenda mi fa sorridere, perché, al di là delle preoccupazioni legittime del WM circa la protezione del sito da eventuali ulteriori “attacchi” e lo scoprire eventuali bug che possano permettere a chicchessia di penetrare nel sito, per il resto ho ascoltato delle minchiate megagalattiche.
...
Confermo che questa persona non è mai entrato all'interno del sito, né del DB, e che tutte le poesie ed i commenti sono copiati ogni settimana per poterli ripristinare in caso di emergenza. Le poesie danneggiate e che si sono dovute cancellare erano quello del giorno stesso, le ultime 20, quelle in home page, ed è per questo che non si potevano ripristinare.
Io non ho preso per i fondelli nessuno, e bene o male posso spiegare come è avvenuto. I siti non si possono proteggere e blindare al 100%, nemmeno quelli delle banche o quelli militari.
Siccome tutto funziona sul fatto che il visitatore produce una interrogazione al server (tramite link o tramite una form), ed il motore del sito risponde di conseguenza, l'attacco che abbiamo avuto è consistito nel creare queste interrogazioni "a mano" cercando di imbrogliare il motore del sito.
Si, alcune informazioni si ricavano proprio mandando in errore appositamente una pagina, ad esempio inserendo una stringa di caratteri al posto di un numero, od un numero altissimo, o scrivendo parametri a caso.
Altre informazioni si ricavano dalla pratica. Questa persona mi è sembrata uno sviluppatore di siti, per quello che ha fatto, e quindi sa quali sono le abitudini di programmazione. Fra le quali, i nomi che si danno alle variabili ed ai parametri.
Ad esempio una variabile che contiene una password può chiamarsi pass, mypass, pwd, key, passkey, passphrase... tutte parole più o meno standard. Nessuno chiama una variabile "Alfredo" o "Camilla", ma sempre con un nome che ne richiama la funzione, anche per rendere leggibile il codice e capire cosa ci sia scritto, a cosa serva.
Quindi niente di più facile, avendo tempo da perdere, e ci sono tentativi da almeno 3 mesi, digitare url del tipo
www.scrivere.info/profilo.php?email='1234@pippo.it'&ID='567'che, se azzeccasse le variabili, potrebbe cambiare la mail dell'utente numero 567 in
1234@pippo.it, od almeno generare degli errori che lo potrebbe far affinare i tentativi.
Oltretutto si può creare sul proprio pc un cookie ad hoc, ad esempio "account=567". In questo caso il sito, ricevendo la url di cui sopra, e trovando nel pc un cookie "falso" con account 567, corrispondente alla url, ci crederebbe e cambierebbe la mail dell'utente.
A questo punto va nella pagina di login del sito e inserisce la mail 1234@pippo.it per recuperare la password. Così riceverebbe la password di quell'utente e potrebbe accedere a suo nome.
Tutto questo si può fare senza entrare nel sito, senza conoscere le mail e senza conosce le password, tranne quella che si riesce a rubare.
Se la mail falsificata e la password rubata appartengono ad un redattore, ecco che l'intruso può entrare nel sito ed ha maggiori possibilità di carpire informazioni che gli faranno procedere nell'intrusione.
E' proprio così che è andata, e quanto ricostruito sopra è solo una parte delle cose fatte e che si possono fare per penetrare le difese di un sito.
Nessuno è entrato nel server, né nel sito (dalla parte del server), né nel DB. Questa persona è riuscita a rubare l'identità di alcuni utenti, ad usare lo strumento di invio delle mail agli utenti della redazione. Rasimaco, Nicomar e MP74Pasquino hanno avuto la mail modificata e la password cambiata, ed utilizzando quei dati l'intruso si è poi spostato a spiare gli altri autori. Nessun altro utente sembra coinvolto, solo questi tre, presi di mira perché redattori.
Come dicevo, l'unico sito sicuro è quello che non è stato ancora creato, perché come lo crei e come lo metti online, ci sono mezzi per bucarlo in un modo o nell'altro. Aziende, multinazionali, banche, ministeri, eserciti... si tratta solo di impegno e di tempo. E' un continuo gioco a tappare falle, scoprire falle, tappare falle... l'unica cosa importante nell'aprire un sito è avere almeno la cura di fare un backup in caso di disastro e sperare per il meglio.
