19 марта 2013, вторник

Вторник, пожалуй, единственный нормальный день в нашем расписании в плане удобства и наличия интересных пар. Хотя лично меня привлекает этот день семинаром по базам данных, где сегодня было снова достаточно весело. Поводом послужил сайт, созданный нашим преподавателем для более удобного изучения курса. Всё началось с регистрации новых пользователей.
- Для использования редактора схем вам следует завести свою учётную запись, чтобы вы могли сохранять проделанную работу на сервере, - обратился ко всем семинарист.
Спустя минуту один из моих одногруппников обратился к преподавателю:
- А регистрироваться как "пользователь"?
- Ну да.
- Просто там есть выбор вплоть до "администратор". Не думаю, что это нормально.
- Хм... Приду домой, подправлю. Спасибо за замечание.
- А за найденные баги на сайте будут какие-нибудь бонусы? - включаюсь я в беседу.
- Смотря что найдёте, -усмехнулся преподаватель.

Про бонусы я спросил просто ради шутки, но тем не менее на сайте решил покопаться - обидно было, что я не заметил столь очевидный баг при регистрации. Но через пять минут:
- А подойдите ко мне.
- Что у вас? - поинтересовался семинарист.
- Список всех пользователей сайта с регистрационными данными и хэшами паролей.
- Ммм... Это вы вообще как этот список получили?
- Да я просто хотел сначала найти список логинов, а тут в итоге такое вылезло...

Не знаю, будет ли мне с этого какой-то профит, но факт нужно запомнить. Кстати, преподаватель сразу после занятий исправил найденные на паре уязвимости. Однако, оперативно.