#ثغرة في موقع التنسيق الإلكتروني 2014
من كام يوم كنت بتكلم مع احمد (اخويا الصغير) بعد ما خلص تالته ثانوي و بدأ يفكر هيدخل كلية ايه و جامعة ايه
هو شخصياً عايز هندسه و عايز يدخل جامعة اسكندرية أو القاهره معايا ، لكن للأسف الاختراع اللي اسمه التوزيع الجغرافي غالبا هيوديه كفر الشيخ ، او المنصورة ، او طنطا ..
هو فضل يفكر يفكر ، على طريقه يتحايل بيها على الموضوع ده ، و فكر ان لو فيه طريقة ممكن يتم بيها التحايل على كود الكلاينت بتاع موقع التنسيق ، تخليه يقدر يقبل أي رغبات من غير الزام بالتوزيع الجغرافي ، يبقى يقدر يكتب القاهره او اسكندرية في الرغبات قبل الجامعات التانيه ..
انا شخصياً كنت معترض على الفكره ، و قلت ان اكيد السيرفر نفسه بيتأكد من الرغبات بعد ما تتبعت و مش بس بيعتمد على الجافا سكريبت كود اللي موجود في الفرونت اند
قعدنا مع بعض ، علشان نجرب و نتأكد لو الثغره موجوده فعلاً و لا لأ
ده شغل الرغبات بتاعته قبل التعديل
موجود فيها كفر الشيخ قبل اسكندرية و المنصورة و طنطا قبل القاهره
و ده اللي بيحصل لو حاولت تحط رغبه فوق التانيه بالمخالفه لقواعد التوزيع الجغرافي
هو قالي انه لقى ملف اسمه ChoiceEditing.js هو اللي غالبا بيتأكد من تطبيق القواعد دي
دورنا مع بعض لغاية ما وصلنا لFunction اسمها IsZoneRuleCorrect اللي شكينا انها هي اللي بتتأكد من القواعد
جربنا نمسح كل اللي جواها و نخليها تقبل اي حاجه
Always return true
بعدها مجرد ما تعدل اي رغبات الموقع مبيعترضش و لغاية دلوقتي مفيش مشاكل
المشكلة اننا وصلنا لآخر مرحلة و طبعنا الوصل بالرغبات اللي احنا عايزينها من غير ما السيرفر يتأكد :)
طبعاً انا اقنعته في الآخر اننا ندخل رغبات بالترتيب الصحيح مع إني مش مقتنع تماماً بمبدأ التوزيع الجغرافي و شايف انه ظلم
و قررنا ننشر الثغرة دي بعد ما تسجيل رغبات المرحله الاولى يقفل و يبقى فيه وقت الثغره تتقفل قبل تسجيل المرحلة التانيه ما يبدأ ..
------------------------
تعديل:
بعد مخاطبة المسؤولين : الموقع كده كده بيعمل فيلتر على الرغبات قبل ما برنامج التنسيق يشتغل و بعد ما الرغبات تتقفل ، و بيمسح كل الرغبات الغلط اللي انت دخلتها كإنك مدخلتهاش اصلاً :)
فالثغرة مش موجودة ، بس ده مجرد Design Choice هما اخدوه .. لو فيه حد حاول يتحايل على البرنامج و يدخل رغبات بترتيب غلط ، هتتمسح الرغبات دي كلها .. بس طول ما هو بيدخل رغبات صح مش هيتأثر بحاجه.
هو شخصياً عايز هندسه و عايز يدخل جامعة اسكندرية أو القاهره معايا ، لكن للأسف الاختراع اللي اسمه التوزيع الجغرافي غالبا هيوديه كفر الشيخ ، او المنصورة ، او طنطا ..
هو فضل يفكر يفكر ، على طريقه يتحايل بيها على الموضوع ده ، و فكر ان لو فيه طريقة ممكن يتم بيها التحايل على كود الكلاينت بتاع موقع التنسيق ، تخليه يقدر يقبل أي رغبات من غير الزام بالتوزيع الجغرافي ، يبقى يقدر يكتب القاهره او اسكندرية في الرغبات قبل الجامعات التانيه ..
انا شخصياً كنت معترض على الفكره ، و قلت ان اكيد السيرفر نفسه بيتأكد من الرغبات بعد ما تتبعت و مش بس بيعتمد على الجافا سكريبت كود اللي موجود في الفرونت اند
قعدنا مع بعض ، علشان نجرب و نتأكد لو الثغره موجوده فعلاً و لا لأ
ده شغل الرغبات بتاعته قبل التعديل
موجود فيها كفر الشيخ قبل اسكندرية و المنصورة و طنطا قبل القاهره
و ده اللي بيحصل لو حاولت تحط رغبه فوق التانيه بالمخالفه لقواعد التوزيع الجغرافي
هو قالي انه لقى ملف اسمه ChoiceEditing.js هو اللي غالبا بيتأكد من تطبيق القواعد دي
دورنا مع بعض لغاية ما وصلنا لFunction اسمها IsZoneRuleCorrect اللي شكينا انها هي اللي بتتأكد من القواعد
جربنا نمسح كل اللي جواها و نخليها تقبل اي حاجه
Always return true
بعدها مجرد ما تعدل اي رغبات الموقع مبيعترضش و لغاية دلوقتي مفيش مشاكل
المشكلة اننا وصلنا لآخر مرحلة و طبعنا الوصل بالرغبات اللي احنا عايزينها من غير ما السيرفر يتأكد :)
طبعاً انا اقنعته في الآخر اننا ندخل رغبات بالترتيب الصحيح مع إني مش مقتنع تماماً بمبدأ التوزيع الجغرافي و شايف انه ظلم
و قررنا ننشر الثغرة دي بعد ما تسجيل رغبات المرحله الاولى يقفل و يبقى فيه وقت الثغره تتقفل قبل تسجيل المرحلة التانيه ما يبدأ ..
------------------------
تعديل:
بعد مخاطبة المسؤولين : الموقع كده كده بيعمل فيلتر على الرغبات قبل ما برنامج التنسيق يشتغل و بعد ما الرغبات تتقفل ، و بيمسح كل الرغبات الغلط اللي انت دخلتها كإنك مدخلتهاش اصلاً :)
فالثغرة مش موجودة ، بس ده مجرد Design Choice هما اخدوه .. لو فيه حد حاول يتحايل على البرنامج و يدخل رغبات بترتيب غلط ، هتتمسح الرغبات دي كلها .. بس طول ما هو بيدخل رغبات صح مش هيتأثر بحاجه.
ليست هناك تعليقات:
إرسال تعليق