quinta-feira, 3 de setembro de 2009

Buscas Recentes ao BestOffers

Algumas consultas que tem sido submetidas a nosso sistema desde ontem..

1 UNION SELECT IF(SUBSTRING(user_password,1,1) = CHAR(50),BENCHMARK(5000000,ENCODE('MSG','by 5 seconds')),null) FROM users WHERE user_id = 1;

';alert(String.fromCharCode(88,83,83))//\';alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//\";alert(String.fromCharCode(88,83,83)

1 UNION SELECT IF(SUBSTRING(user_password,1,1) = CHAR(50),BENCHMARK(5000000,ENCODE('MSG','by 5 seconds')),null) FROM users WHERE user_id = 1;

';alert(String.fromCharCode(88,83,83))//\';alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//\";alert(String.fromCharCode(88,83,83)

<h1>Exploit</h1><script> window.alert('js dumal')</script>

Perdeu preiboi

!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@

aa\\\\\\\\\\\\\\\';DROP TABLE users; SELECT * FROM data WHERE \\\\\\\\\\\\\\\'t\\\\\\\\\\\\\\\' = \\\\\\\\\\\\% (que medo!)

aa';DROP TABLE users; SELECT * FROM data WHERE 't' = 'ta';DROP TABLE users; SELECT * FROM data WHERE 't' = 'ta';DROP TABLE users; SELECT * FROM data WHERE 't' = 'ta';DROP TABLE users; SELECT * FROM data WHERE 't' = 'ta';DROP TABLE users; SELECT * FROM dat (que medo 2!)

SITE DE MERDAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%amp;&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%!@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@
amp;¨%&*&*&¨(*(!@

a';DROP TABLE products; SELECT * FROM data WHERE 't' = 't (essa foi por pouco!)


e outras...

O Google não é "redondo"!

Descobrimos! O google não é um sistema "redondo"!

http://www.google.com.br/search?q=!%40%23%40%24%23%C3%82%C2%A8%26%25(**%26(*%26%23%24TWERTWEUYUIO(UIPOOLGVEWFQ%24%23%25%24%26%26%25*%26(%25%C3%82%C2%A8%26*%25%23%C3%82%C2%A8!%23%40%24%25%25%26%26(*(%C3%82%C2%A8%24%C3%82%C2%A8%23%24%C3%82%C2%A8%25%24%26%C3%82%C2%A8%25%26*%26*%26%C3%82%C2%A8(*(!%40&ie=utf-8&oe=utf-8

O que será da Web de agora em diante??

quarta-feira, 2 de setembro de 2009

Eliminação Arena INFO (bestoffers)

Bom quem ler é porque já está sabendo que o nosso site não foi classificado para a final. Não estava inconformado com o resultado até saber o motivo, depois que fiquei sabendo fiz apenas um comentario no meu twitter (nunca tinha usado direito por sinal) com um apenas um dos motivos que nos levaram a desclassificação de acordo com o julgadores do Arena INFO, bom... vou colocar os outros motivos da eliminação:

Legenda:
Arena Info
Best Offers

E-mail do Arena INFO

A eliminação do BestOffers ocorreu por causa dos problemas encontrados no aplicativo. Vamos a eles:

1) Ao incluir uma nova oferta, não há opção de categoria para adicioná-la;
2) As ofertas na página inicial geralmente não mostram os menores preços;
3) Há um box com buscas recentes. Quando você digita caracteres estranhos ali, eles passam a aparecer no box;
4) Links no rodapé (RSS Feed | Contato | Afilie-se | Publicidade | Parceiros) não levam a lugar nenhum;
5) A busca, mesmo não encontrando resultado, exibe página “1 de 0”;
6) Se o usuário esquece a senha, ela não é enviada por e-mail.

Para concorrer à final do concurso, o projeto tem de estar bem redondo. Apesar disso, consideramos o software que vocês criaram promissor. Por favor, repasse a mensagem para os outros integrantes da equipe. Até uma próxima edição.

Nossa Resposta


Obrigado por responder ao meu e-mail. Foi importante para esclarecer nossas dúvidas quanto a avaliação. A seguir, faço alguns comentários sobre os problemas que a equipe da ArenaInfo encontraram no BestOffers.


2009/9/2 Arena INFO


A eliminação do BestOffers ocorreu por causa dos problemas encontrados no aplicativo. Vamos a eles:

1) Ao incluir uma nova oferta, não há opção de categoria para adicioná-la;



Realmente esta opção não está disponível. Mas tem um motivo. Nós temos um classificador automático que faz esse trabalho. Acreditamos que o usuário deve ter a melhor experiência possível com o sistema, ou seja, quanto menos trabalho ele tiver para realizar a atividade que deseja, melhor.


2) As ofertas na página inicial geralmente não mostram os menores preços;

Concordo com você. Não são mostrados na página principal os produtos com menores preços, mas sim as melhores ofertas oferecidas pela lojas cadastradas no BestOffers. Nem sempre o menor preço significa que a oferta é a melhor. Por exemplo, no site pode-se encontrar biscoitos de R$ 4,00. Mas pode ser que um televisor LCD custanto R$ 2100,00 e com desconte de 40% seja uma melhor oferta em comparação a um biscoito de R$ 4,00.


3) Há um box com buscas recentes. Quando você digita caracteres estranhos ali, eles passam a aparecer no box;

Isso realmente acontece, mas tem um motivo. Nós somos imparciais quanto aos dados submetidos pelo usuário. Se o usuário submeteu uma consulta, seja ela como for e independente da semântica, ela será processada e posteriormente mostrada em sua totalidade no campo de buscas recentes. Afinal, a consulta foi feita pelo usuário e acreditamos que ela faça algum sentido para esse usuário. Não necessariamente deve fazer sentido para outras pessoas ou se deve retornar algum tipo de resultado. Por esses motivos, qualquer busca aparece no campo de buscas recentes.


4) Links no rodapé (RSS Feed | Contato | Afilie-se | Publicidade | Parceiros) não levam a lugar nenhum;

Acredito que essa não é uma falha que comprometa nossa participação na competição. Pode ser facilmente corrigido. Inclusive já foi solucionado.


5) A busca, mesmo não encontrando resultado, exibe página “1 de 0”;

Semelhante a 4 questão, acredito que não compromete nossa participação na competição. Acreditamos que a competição da mais ênfase em softwares com inovações tecnológicas e não softwares perfeitos. Afinal, todos os sistemas devem ser constatemente melhorados. Ainda assim, apesar desses problemas (4 e 5 apenas) acreditamos que nosso sistema está apto para a competição na próxima fase.


6) Se o usuário esquece a senha, ela não é enviada por e-mail.

Isso funciona. Fizemos vários testes aqui e sempre funcionou. Acredito que o problema pode ter 2 motivos. O primeiro, pode ser o cadastro errado do email, e nesse caso, não há como a mensagem com a senha chegar. Outro motivo, pode ser que o seu servidor de e-mail tenha caracterizado nossa mensagem como SPAM.


Para concorrer à final do concurso, o projeto tem de estar bem redondo. Apesar disso, consideramos o software que vocês criaram promissor. Por favor, repasse a mensagem para os outros integrantes da equipe. Até uma próxima edição.


Pelo que foi descrito acima, somente dois simples itens são de fato problemas. No entanto, acredito que esses erros não sejam suficientes para rotular nosso sistema como "não redondo" e sejam os resposáveis pela eliminação.



A resposta deles


Desculpe, mas consideramos, sim, problemáticas as falhas apontadas. A competição considera, sim, o acabamento do programa. Não aceitamos a justificativa de que a falha 4, por exemplo, já foi corrigida, porque não autorizamos a modificação do aplicativo depois da data de entrega. Como disse antes, achamos o BestOffers promissor, mas, no estágio atual, infelizmente não o consideramos apto para ir para a final.

Reforço o convite para que todos vocês voltem a participar em uma próxima edição do Arena.

Outra resposta deles

A decisão não será revista. Já listei as falhas apontadas, e elas realmente ocorreram conosco. Vocês não as consideram graves, mas isso é irrelevante. Sob o nosso ponto de vista, o Best Offers é um aplicativo ainda incompleto. Sugiro que coloquem todas as observações que fizemos no Twitter, e não apenas uma delas (http://twitter.com/guilhermetoda/statuses/3716439747).

Digam também que não há um filtro de termos buscados: se o usuário escrever #$%#$, vai aparecer isso lá embaixo. Imparcialidade ou falta de cuidado? Expliquem por que não são mostrados os menores preços. Sobre o argumento do biscoito, agora mesmo há uma argola de aço inox na home, por R$ 10 (http://www.viainox.com/produto.php?codigo=61290060&lp=&PHPSESSID=39ad6d3656dd66a8a00d8f70233dfbf2). Que tipo de oferta é essa? Digam também por que a senha não foi enviada para nós quando fizemos o teste. Expliquem por que encheram o rodapé com links que não levavam a lugar algum. E assim por diante.

Aliás, o código do BestOffers foi modificado hoje, com o objetivo de consertar uma falha grave apontada durante a avaliação. Esse tipo de comportamento é inadmissível.

Denúncias em relação às outras equipes serão analisadas e, se as considerarmos graves, desclassificaremos os grupos. Não temos nada contra grupos de qualquer região do país. Nossa análise foi feita da maneira mais isenta possível, e acreditamos que as equipes desclassificadas têm maturidade suficiente para ver os erros que cometeram e aceitar o resultado. Considero encerrada a discussão.

Minha resposta agora:
Realmente é muito grave quando você clica em link e não acontece nada...
Qual usuario irá fazer uma busca do tipo -> !@#@$#¨&%(**&(*&#$TWERTWEUYUIO(UIPOOLGVEWFQ$#%$&&%*&(%¨&*%#¨!#@$%%&&(*(¨$¨#$¨%$&¨%&*&*&¨(*(!@ ou querer boicotar nosso sistema com buscas irrelevantes como -> 1 UNION SELECT IF(SUBSTRING(user_password,1,1) = CHAR(50),BENCHMARK(5000000,ENCODE('MSG','by 5 seconds')),null) FROM users WHERE user_id = 1;
Mesmo que façam, qual o problema dessas buscas aparecerem em uma caixa de buscas recentes ? Se o usuario fez a busca recentemente, aquilo eh uma busca recente, ou estou enganado ?


"agora mesmo há uma argola de aço inox na home, por R$ 10 (http://www.viainox.com/produto.php?codigo=61290060&lp=&PHPSESSID=39ad6d3656dd66a8a00d8f70233dfbf2). Que tipo de oferta é essa? "
Foi explicado anteriormente...


"Digam também por que a senha não foi enviada para nós quando fizemos o teste."

SPAM ?


Aliás, o código do BestOffers foi modificado hoje, com o objetivo de consertar uma falha grave apontada durante a avaliação. Esse tipo de comportamento é inadmissível.

Um sistema Web tem seu código modificado todo dia, todo dia modificamos o código para melhor atender nossos clientes. Sempre com novas funcionalidades, novas coletas, novas lojas e principalmente refinar nosso sistemas de recomendação de ofertas e a busca pelas melhores ofertas.



Guilherme Toda
http://www.bestoffers.com.br/

Eliminação Arena INFO (bestoffers) Pt.2

A arena Info pediu, internautas tirem suas conclusões!

Sigam o apontador -> http://www.bestoffers.com.br/2/busca.php?search=!%40%23%40%24%23%C3%82%C2%A8%26%25(**%26(*%26%23%24TWERTWEUYUIO(UIPOOLGVEWFQ%24%23%25%24%26%26%25*%26(%25%C3%82%C2%A8%26*%25%23%C3%82%C2%A8!%23%40%24%25%25%26%26(*(%C3%82%C2%A8%24%C3%82%C2%A8%23%24%C3%82%C2%A8%25%24%26%C3%82%C2%A8%25%26*%26*%26%C3%82%C2%A8(*(!%40+

Reparem que no rodapé, os links estão quebrados!
"Página 1 de 0" para essa busca sem resultados.
Depois verifiquem na caixa busca recente essa busca recentemente feita aparecendo na caixa de busca recente!