Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

Wpis użytkownika DexterFromLab w Hydepark

Gruba ryba

w Hydepark

163

Dzisiaj kasa w Biedronce wywaliła Java Exception ze stack trace'em na ekranie. Oczywiście nie mogłem się powstrzymać i zacząłem czytać. XD

Czego się dowiedziałem? Oprogramowanie kas działa na Javie i Spring Boot. Do logowania wykorzystują Log4j, a frontend komunikuje się z lokalnym backendem.

Aplikacja wywaliła się prawdopodobnie dlatego, że próbowała uruchomić socket na porcie, który był już zajęty przez inny proces. W stack trace pojawił się też adres 0.0.0.0, co sugeruje próbę nasłuchiwania na wszystkich interfejsach sieciowych.

Zakładam, że kasy są podłączone do wewnętrznej sieci Biedronki, być może przez VPN. Nie wiadomo oczywiście, jak wygląda segmentacja sieci i czy jakiekolwiek usługi są dostępne z zewnątrz.

Ale sam fakt wyświetlenia pełnego stack trace'a na ekranie kasy jest ciekawy z punktu widzenia bezpieczeństwa. Przypadkowy klient dostaje informacje o technologiach, architekturze aplikacji i potencjalnych punktach wejścia.

Sama znajomość stacku nie oznacza jeszcze podatności, ale zdecydowanie ułatwia rozpoznanie systemu.

A ja chciałem tylko zapłacić za zakupy. XD Pani kasjerka powiedziała że jak już skończę tę wciągającą lektórę to mogę kliknąć OK żeby zamknąć okno xD

Komentarze (50 z 53)

Lider3

Ja kiedyś, już dawno temu, bawiłem się bankomatem. Działał na Windows 95 albo 98 I z jakiegoś powodu aplikacja bankomatu się wyłączyła. Można była dotykowo używać Windowsa, uruchomić pasjansa i IE xD Ale nie pamiętam czy internet działał. Pasjans działał.

Zawodowiec4

Opis błędu brzmi jakby ktoś przeskanował kasy jakimś rapidem czy innym nessusem. Nie pytajcie skąd wiem XD

Twórca1
Zakładam, że kasy są podłączone do wewnętrznej sieci Biedronki, być może przez VPN. Nie wiadomo oczywiście, jak wygląda segmentacja sieci i czy jakiekolwiek usługi są dostępne z zewnątrz.

@DexterFromLab serwis jest połączony przez VPNa, a komunikacja między serwisami jest autoryzowana dodatkowo na podstawie certyfikatu i klucza (zgaduje, że każdy epos ma swój własny wygenerowany certyfikat tak jak każdy zewnętrzny klient).

Gruba ryba8

@DexterFromLab bezpieczeństwo całej Biedronki wisi na włosku bo jakiś nerd dowiedział się że oprogramowanie jest kucowane w jakimś dżawa skrypcie czy innym ce plus plusie 😉

Zawodowiec4

@DexterFromLab ktoś mi tu jakieś dziwy wypisuje o wektorach ataku na systemy komputerowe.

Najprostszy wektor ataku to zajeb*ć kłonicą przez plecy, oponent po ataku nie ma prawa się podnieść.

GURU18

@DexterFromLab dzisiaj stałem do butelkomatu bo tylko jeden był czynny z dwóch, drugi wpadł w bootloop. Działał na centos 7 z kde, system który nie ma supportu od 2 lat a tak realnie od 6. Zrobili tak pięknie, że jak krańcówka na taśmie zgłasza problem to system robi reboot xD Technolodżia

Autorytet7

@DexterFromLab tak zwane zboczenia zawodowe. Osobiście od jakiegoś czasu unikam, bo szkoda się denerwować, że świat jest spięty na trytytki.

Kiedyś też zaglądałem w kod, ba, jako były frontendowiec analizowałem sobie kod gównostronek, jakbym nie miał co robić w życiu. Zawsze z pozą "ha, ale zjebane, ło matko jakie gówno", a potem sam robiłem podobne, bo terminy xd

Nie mówiąc o innych branżach, bo kilka ich w życiu przerobiłem, w tym produktowe. Dlatego w marketach zawsze zerkałem i zawsze płakałem "jak oni takie gunwo sprzedają za tyle hajsu, matko bosko".

Dziś mam w d⁎⁎ie xd Zwłaszcza od momentu, jak od dłuższego czasu jestem pciembiorcom i te wszystkie rzeczy są po prostu w jakiś sposób... zrozumiałe. Wszędzie pośpiech, wszędzie gonitwa, więc jest jak jest.

A po Biedronce nie spodziewałbym się, że będzie miała dograny system informatyczny, skoro przerasta ich zwykła logistyka i palety stoją pośrodku sklepu.

Gruba ryba0

@npnptcn tylko tutaj raczej nie jest kwestia pośpiechu tylko ktoś z jakiegoś powodu podjął szereg zupełnie złych decyzji. Przykład złego doboru technologii do zadania.

Osobistość3

Jak lubisz się bawić w takie rzeczy, to wiele „kiosków” (np te foto kioski w rossmanach) łatwo przejąć przez wyjście z aplikacji do systemu. Robi się to klikając naprzemian górne narożniki ekranu. Pod spodem zwykle siedzi Windows xp (stary ale jary)

Lider8

Nic z tego nie zrozumiałem, piorun

Gruba ryba5

@Rzeznik tl;tr biedronka ma dziwacznie zrobiony soft, który się wywala, ma potencjalne wektory ataku i jeszcze sam o nich informuje przypadkowe osoby w trakcie zakupów.

Zawodowiec13

@DexterFromLab opie, przez pewien czas dorabiałem na serwisie sprzątającym w tesco na górczewskiej. tak się złożyło że w 2015 r informatycy wprowadzali kasy samoobsługowe, jeba*ło się to strasznie, robiłem zakupy na samoobsługowej, błąd za błędem, informatyk z Tesco się poci a ja mu rzucam tekstem: Panie, mam doświadczenie z obsługa komputerów od 1986 roku - i mogę Panu powiedzieć że dobry programista wiesza się razem z programem.

Zawodowiec3

@dez_ uuuu, nie obrażaj mnie, chłop z dziada i pradziada z mazowieckiego spod warszawki jestem. kłonicą przez grzbiet nie chcesz dostać?

Gruba ryba6

@dez_ tak bo wszyscy mieszkańcy kraju wiedzą gdzie jest górczewska xS warszawiak zakłada że każdy zna Warszawę i nawet nie ma sensu podawać miasta bo jak ktoś podaje nazwę ulicy bez miasta to od razu wiadomo że warszawa xD bo w Polsce nie ma innych miast xD

Gruba ryba1

@DexterFromLab W carrefour na kasie widziałem OpenSuse ; )

Gruba ryba1

@PoProstuJJ To jest problem właściciela/zarządcy. Brak podstawowych zabezpieczeń w postaci wydzielenia infrastruktury sieciowej od części ogólnodostępnej.

Jeszcze kilka lat temu widziałem projekty budynków biurowych gdzie architekci nie przewidzieli wydzielonego pomieszczenia dla IT, brak szachtów kablowych na 200 kabli LAN "jakoś to będzie". Albo stawianie szafy rack gdzieś pod schodami obok szczotek i wiadra ¯\\(ツ)/¯

Kompan2

@Marchew Rodzice z dziećmi wpuszczani do toalety na zapleczu sklepu. W okolicznych marketach regularnie oglądam cały hardware sieciowy, nikogo to nie rusza ¯\\(ツ)/¯

Gruba ryba1

@DexterFromLab Szacując ryzyko, realnie hakerzy z rosji, dron spadający na serwerownię. Potencjalnie pajet który wyczyści dyski po stronie hostingu, ewentualnie pożar w serwerowni.

Coś przeoczyłem?

Gruba ryba2

@Marchew spoko, na czymś musi działać. Wiesz ethernet stack jest dość złożony, łatwiej mieć jakiś OS. Całe zarządzanie systemem,.etc... Ale jak by mi ktoś dał takie zadania i miałbym zasoby to bym jechał bare metal. Nawet bym sobie zrobił swoje szyfrowanie. Bo jak wychodzą expolity to nikt nie wie jak dobić się do twojego własnego systemu, a na Linuxie wie każdy.

GURU6

Xddd smieszki to beda jak ci czarni zrobie wjazd na kwadrat za szpiegostwo przemyslowe

Fenomen9

@ErwinoRommelo

Szpiegostwo przemyslowe

To nie jest podglądanie stupek przez lornetkę, tylko raczej negliż starej baby z obwisłym cycem przed dziećmi w bialy dzien. To raczej jak "wyciek".

Fenomen4

Zaraz sie okaze, ze programowanie przez deployment typu jar na pendrive wtykany z tyłu.

W tym momencie to ja bym juz nie płacił w automatycznych kasach w ogole. Jesli poziom jest tak wysoki xD przeciez ustawienie inego konta bankowego w tej aplikacji do pobrania oplaty to jest nowe " jak zostac milionerem".

Specjalista0

@DexterFromLab dlaczego Java + Spring Boot jest złym stackiem? Szybki development, dużo rzeczy zintegrowanych z pudełka i to co najważniejsze: duzo deweloperów na rynku znających stack.

BTW. Aktualizacje i support kas robią zdalnie.

Gruba ryba7

@dziad_saksonski ja pierdole. Jak ktoś używa spring boota do obsługi kasy samo obsługowej to ja nie mam pytań. To jak by ubrać sandały żeby wspinać się na K2. Więc tak, nie zdziwię się jeśli pakują soft przez USB. Potencjalnie można się tam wpiąć. Zrobić reverse engenerring na byte kodzie, wpiąc się pod apkę przejąć kontrolę nad kasa i wejść w system płatności. Zainstalować takie oprogramowanie na każdej kasie w Biedronce i wysyłać płatności na konto na Kajmanach xD

GURU2

Mi się wydaje że większość ludzi nie miała pojęcia co tam jest napisane. Zagrożenie bezpieczeństwa na poziomie " kurła, Grażyna, co to się ssstanęło!"

Osobistość44

@DexterFromLab Widzę, że nie tylko ja jestem taki upośledzony, że jak jakiś komputer w miejscu publicznym wywali errora albo przez przypadek pokaże konsole to czyta wszystko co się tam znajduje i analizuje co tam siedzi xD.

Sum5

@ZohanTSW swego czasu stałem przy kasie samoobsługowej (nieprawidłowa waga) i czekałem na kasjerkę która mnie doskonale widziała i układała coś kawałek dalej, po dwóch minutach stwierdziłem że przenoszę wszystko do drugiej samoobsługowej i oczywiście zablokowałem drugą kasę, przyleciała z krzykiem że zaraz wszystkie zablokuję, zwróciłem uwagę że mogła podejść jak przy pierwszej stałem jak kołek i na nią czekałem. Profit zero ale lepiej na serduszku

Fanatyk3

@Catharsis o nieee, nerd co się interesuje komputerami, fuj, jak tak można

Ja jak czekam na obsługę w Biedronce przy kasie samoobsługowej bo jak zwykle coś tej kasie nie pasuje, to wciskam wszystkie przyciski próbując coś zepsuć. Póki co się nie udało :/ musiałbym znaleźć pewnie przycisk od zasilania xd

Osobistość11

@DexterFromLab No widzisz dla nas nic, ale dla pani kasjerki z Bierdy widok kogoś tak intensywnie wczytującego się w ten losowy bełkot na ekranie musiał być dziwny.