Olá David,

Agradeço imenso o aviso.
Por favor, indique-me que tipo de erros é que encontrou e como é que podemos corrigir isso de forma a proteger a informação dos nossos utilizadores.

Cumprimentos,
Vitor Nunes


No dia 25 de março de 2017 às 17:02, <david.bc2.24@gmail.com> escreveu:
Nome: David Baptista Capela
Mensagem: Muito boa tarde matematica.pt
Gostava de informar que o site contém bastantes erros SQL , peço a quem elaborou o site que tenha atenção nos links com erros SQL que , são absurdamente excessivos , vou passar a explicar:
O vosso site contém erros os quais se pode injetar códigos e assim penetrar na base de dados ( no vosso caso a base de dados é ctoryah15913com16673_matematica ).
Podia ter usado as vossas informações de forma maliciosa (consigo ver utilizadores , nomes , emails e passes) , no entanto , eu uso bastante o vosso site e agradeço a ajuda que me dão, e por isso estou também a ajudar-vos contra futuros hackers!
Aqui estão as provas que precisam:
http://prnt.sc/eocmdr
http://prnt.sc/eocmk3
http://prnt.sc/eocmrt

Cumprimentos , David Capela! ( espero uma resposta )

David Capela <david.bc2.24@gmail.com>
26/03

para Vitor
Os erros encontrados são de origem SQL , todas as hiperligações deste tipo: "ulas-resumo.php?ano=12" que acabam em .php?ano= contêm os erros referidos , passo a exemplo este erro que aparece quando se "toca" numa vunerabilidade http://www.matematica.pt/aulas-exercicios.php?id=%2754 (abram este link )
Contudo , vocês têm uma encriptaçao hash em BCRYPT para as passwords , o que signigica que podem estar descansados que as passwords estão bem seguras para hackers normais.
Recomendo vivamente a mudarem o formato(links) das páginas e subpáginas do vosso site de modo a melhorar a segurança cibernética.
Fiz um pequeno scan , e podem estar descansados que apenas eu tive conhecimento desta grande vunerabilidade.


Cumprimentos , David Capela , vosso aluno.


David Capela <david.bc2.24@gmail.com>
26/03

para Vitor
Se necessitar mais ajuda , posso corresponder.


Vitor Nunes <vitor@matematica.pt>
26/03

para mim
Olá David,

Mais uma vez, obrigado pelo reparo.
Apesar de ser professor de matemática, sou um auto-didacta e percebo alguma coisa de SQL e de programação em PHP. Fiz o site todo sozinho, consultando alguma ajuda nos forums da especialidade. Toda a construção do site pode ser acompanhada a partir do seguinte link:

http://www.matematica.pt/util/historial.php

No entanto, não entendo, como é que a partir do erro referido é possível ter acesso à Base de Dados.
O erro que me mostra, aparece porque o ID solicitado não está presente na Base de Dados. Mas como é que isso constitui uma vulnerabilidade e como é que a partir daí conseguiu ter acesso ao nome da BD, à sua estrutura e ao tipo de encriptação que utilizo nas passwords?

Agradeço o esclarecimento, para eu poder efectuar a correcção o mais rapidamente possível,
Se preferir podemos falar por Skype ou através de outro meio.

Cumprimentos,
Vitor Nunes


David Capela <david.bc2.24@gmail.com>
26/03

para Vitor
Sim claro , se quiser me adicionar no skype: "mudeii"


Vitor Nunes <vitor@matematica.pt>
27/03

para mim
Olá novamente,

Qual é então a melhor hora para falarmos David?
Já agora, por curiosidade, como refere que costuma utilizar o site, estou a falar com um aluno ou um adulto?

Cumprimentos,
Vitor Nunes


David Capela <david.bc2.24@gmail.com>
27/03

para Vitor
Boa tarde professor,

Sou um mero aluno do 12º ano com 18 anos do Porto , apenas tenho algum conhecimento em "pentesting" (penetração de base de dados e scaneamento de vulnerabilidades em sites) nomeadamente em SQL Injection e Cross Site Script . Utilizo o site para estudar para os testes de matemática e , admito, dá uma ajuda fundamental pois tenho bastantes dificuldades a matemática , visto que necessito dela para entrar em engenharia informática , no entanto , não tenho qualquer intenção maliciosa , porque aliás gostava de tirar o mestrado em segurança cibernética e fazer do trabalho de prevenir hackers o meu futuro . E a melhor maneira de os prevenir é ser um. E portanto, como o site me ajudou e ainda ajuda no combate às minhas dificuldades em matematica, penso que é do meu dever ajudar quem me ajuda!

Bem , por conveniência , preferia , se pudesse , falar sobre o assunto neste próximo fim-de-semana , no domingo a qualquer hora , pois esta semana estou com o calendário de testes ocupado e necessito bastante de estudar , pois a faculdade está à porta.

Apesar de ser uma decisão difícil , aconselho-o a manter o site em quarentena enquanto não resolve este bug, pois pode comprometer TODAS as informações dos utilizadores (como mostrei no print)
Estou disposto a colaborar com a resolução de modo a encontrar uma solução para impedir que seja possível utilizar o método de injeção de códigos na BD.

Os meus sinceros cumprimentos , David Capela!


Vitor Nunes <vitor@matematica.pt>
27/03

para mim
Olá David,

Muito obrigado pelos conselhos.

Estou familiarizado com o SQL Injection e penso que sei como resolver o problema.
Amanhã vou alterar os scripts PHP de modo a reforçar a segurança.
Depois no fim de semana, ou quando tiver mais disponibilidade podemos falar sobre o assunto.
Entretanto, existem partes do site (nomeadamente as aulas do 12º ano com os exercícios resolvidos em vídeo) que só podem ser acedidas por utilizadores com uma conta criada. Se tiver interesse, posso-lhe criar uma conta gratuita.

Boa sorte para os testes!


David Capela <david.bc2.24@gmail.com>
27/03

para Vitor
Boa noite professor ,
Como disse , fiz isto com um espírito diferente , não sou mais que ninguém para ter a conta gratuita, mas muito obrigado pela generosidade. Fico bastante feliz em saber que pude ser útil e ajudar o site e nomeadamente a si , professor. Podemos falar quando tiver disponibilidade e prometo dar o meu melhor para o ajudar!
Continue com o bom trabalho que está a fazer, está se a refletir em muitos alunos, e sinto que vai chegar longe com a plataforma!

Cumprimentos , do seu fiel aluno , David Capela!


Vitor Nunes <vitor@matematica.pt>
29/03

para mim
Olá David,

Penso que já resolvi o problema.
Estive ontem a alterar o código PHP de acesso às Bases de Dados e penso que neste momento já não é possível ter acesso ao conteúdo da BD.

Quando tiveres um bocado de tempo, por favor verifica se as vulnerabilidades ficaram resolvidas.

Desde já obrigado,
Vitor Nunes


David Capela <david.bc2.24@gmail.com>
30/03

para Vitor
Boa noite professor,

Testei todos os métodos e todos os meus conhecimentos em SQL Injection e posso afirmar , felizmente, que o erro não está mais injetável, todas as brechas de segurança foram removidas!!
Fiz também um scan no seu site para outros possíveis erros , assim como Cross Site Script e também deu negativo.
Bem , fico bastante agradado por ter avisado do erro antes de acontecer uma tragédia pior , como disse , pretendo que o meu trabalho futuro seja fazer com que o dos hackers seja impedido , por isso , acho que foi uma situação em que ambos saímos a ganhar.
Mais uma vez , muitos parabéns pela plataforma que criou!

Cumprimentos,
David Capela


Vitor Nunes
31/03

para mim
Olá David,

Agradeço imenso por me ter chamado à atenção e ainda bem que os erros desapareceram.

Nem sequer foi necessário muito trabalho, bastou "perder" uma manhã de trabalho para alterar a forma como as páginas estavam a utilizar a informação enviada por GET para efetuar uma consulta às Bases de Dados. Daqui para a frente tentarei ter mais cuidado na minha forma de programar.

Espero que consigas atingir os teus planos e se precisares de alguma ajuda da minha parte estou disponível.

Cumprimentos,
Vitor Nunes