La Settimana Ricomincia...che succederà?

Da quando ho lasciato l'Italia per venire a vivere qui in Inghilterra ogni settimana per me ha rappresentato l'inizio di una cosa nuova...c'è stato il lunedi in cui sono arrivato...il lunedi che ho iniziato a lavorare...il lunedi a Londra...il lunedi del mio primo progetto...e ora c'è questo lunedi...forse il primo lunedi normale da quando sono arrivato.
Come già sapete se seguite le mie "avventure" adesso sono il felice possessore di una linea internet via cavo fornita (non senza problemi e inconvenienti) dalla Virgin Media...che qui in UK fa un pò di tutto...cmq la linea funziona che è una bellezza poco fa ho scaricato un aggiornamento per il mio Vista...un file da 8 MB e c'è stato circa 1 o 2 secondi a scaricare...MINKIA...
...per ora sto sfruttando la linea per ascoltare un pò di musica in streaming...mentre ieri sera su ebay ho comprato una scheda USB 2.0 che funge da ricevitore tv per il segnale digitale...giusto perchè non voglio comprarmi una TV (per ora) e quindi con sto coso ovvio alla mia carenza di immagini in movimento a cui sono stato abituato per tanto tempo...in tutto mi è costao 13,50 sterline (incluse spese di spedizione) contro le 35,99 che mi hanno chiesto da ARGOS (una specie di grande magazzino dove si ordina tramite un catalogo in negozio oppure online) .
Oggi a lavoro sono arrivato con circa 10 minuti di ritardo perchè ho perso tempo al telefono cercando parlando con il corriere che deve consegnarmi il router wifi della virgin (erano passati venerdi ma come al solito io non c'ero)...ci siamo messi d'accordo per domani...ho dato anche il mio numero di telefono in modo che quando sono nei paragi mi chiamano e vediamo se posso allontanarmi da lavoro qualche 10ina di minuti giusto per prendere sta camurria...
A lavoro comunque sempre tutto a posto...oggi è venuto TM che ha voluto vedere tutti i buchi che ero riuscito a trovare nelle applicazioni web che mi aveva lasciato da testare...alla fine mi ha fatto i complimenti che mi sono sembrati sinceri...:-)...BUONO.
Il resto della giornata però devo dire è stato un pò monotono perchè non avevo granchè da fare quindi ho cominciato a scrivere (da solo) il report relativo ai finding sulle applicazioni web...tanto qualcuno prima o poi deve farlo e siccome io non c'ho molto da fare sta settimana preferisco iniziare ed essere corretto piuttosto che stare a cazzeggiare...al limite se proprio mi annoio mi metto a programmare qualche scriptarello in Python o qualche mini applicazione in C# per velocizzare alcuni task in cui mi sono imbattuto in questo test...a proposito del test...visto che ho tempo e linea vi racconto un pò come è andata...naturalmente non posso fare i nomi della società coinvolta (si dice il peccato ma non il peccatore...mi hanno insegnato) e quindi procediamo...come avevo già scritto in un precedente post testando l'applicazione (un mix di cold fusion, java e oracle) mi sono imbattuto in uno script che prendeva in input (sulla query string) un parametro di nome file...i programmatori avevano pensato sto script per consentire il download di file precedentemente caricati tramite appositi form di upload...naturalmente io appena ho visto scritto file nella query string non ho resistito (oltre tutto essendo autorizzato a non resistere) e ho modificato il path del file leggittimo col classico "../../../../../../../../../../../../../../etc/passwd"...e con mia grande gioia mi sono scaricato il mitico file...vabbè mi sono detto "fin qui è una minkiata"...però subito dopo ho provato a scaricare il file /etc/shadow...e stavolta con mio grande stupore ho visto che ERA POSSIBILE...questo significava che il server girà con gli stessi diritti di root...ihihihihihiih....a quel punto ho scaricato prima il file .bash_history per vedere tutte le mosse dell'admin sul server...analizzando il file ho scaricato tutti i file che l'admin,in un modo o nell'altro a manipolato,poi, visto che potevo mi sono scaricato il file di configurazione di Apache che mi ha consentito di scoprire un pannello di amministrazione (nascosto) sullo stesso server...naturalmente chiedeva valide credenziali di accesso che io non possedevo quindi che ho fatto? Facile mi sono scaricato lo script che si occupava del login per analizzare il codice sorgente e vedere se lo potevo fottere in qualche modo...il codice è scritto in maniera tale che non è possibile bypassare l'autenticazione con sql injection quindi mi servivano per forza delle valide credenziali e soprattutto di un admin che avesse i pieni diritti...lo studio dello script mi ha consentito di capire quale era la tabella che conteneva username e password quindi l'unica cosa che dovevo fare era trovare uno script da qualche altra parte nella applicazioni da testare vulnerabile a sql injection...devo dire che anche li c'era l'imbarazzo della scelta (che culo) però piuttosto che tentare l'iniezione su query chilometrite da 25 campi a salire ho trovato una semplice sql injection per uno script che in output restituiva due campi anche se in realtà i 2 campi restituiti non generavano contenuto testuale ma solo 2 combobox (vuote) se il risultato della query restituiva almeno 1 risultato...tante combobox+1 (sempre vuote) per quante righe restituiva la query...quindi per determinare username e password mi bastava a quel punto fare una union con i dati di questa query basandomi su determinate condizioni di where...in parole povere con query di unione tipo "union select username,password from tabellaAdmin where flag_admin="Y" and flag_super_admin="Y"...questa mi ha restituito tipo 8 combo...allora ho cominciato ad enumerare prima l'username con una cosa di questo tipo "union select username,password from tabellaAdmin where flag_admin="Y" and flag_super_admin="Y" and username like 'a%'" (2 combo quindi slo un username iniziava con 'a')....e cosi via "union select username,password from tabellaAdmin where flag_admin="Y" and flag_super_admin="Y" and username like 'ab%'"...insomma tutto il processo per determinare username e password mi ha preso circa 1 ora e mezza ma è stato divertentissimo...:-D....insomma l'aver combinato il problema del path traversal con il sql injection per trovare le password ed autenticarsi al pannello di amministrazione nascosto a quanto pare è una cosa TOKA....ihihihihihi...e mi sono pure divertito....ihihihihihi
Cmq ora basta con i tecnicismi...non lo faccio più...solo questa volta perchè è stata la prima...non voglio che questo blog diventi tecnico...il web è pieno di blog tecnici qui voglio parlare di me...quindi questa è l'ultima volta che parlo di cose tecniche...promesso.
Stasera mi sono fatto 2 uova ed un'insalata toca...mi sono riempito la panza...oggi facevo freddigno...ha nevicato ancora...meno male però che la neve l'ho vista dalla finestra a lavoro...quando sono uscito c'era si freddo ma non mi sono arruciato come al solito!
Azzo ma quanto scrivo?...Ma qualcuno mi legge secondo voi? Ora mi vado a guardare le statistiche...è un pò che non lo faccio vediamo che spunta.
Per oggi è tutto.
CHEERS

Connessione attiva finalmente!!!

Come avrete capito dal titolo finalmente anche io ho una connessione tutta mia...e che connessione?!?!?
Una linea a 20MB via cavo che pare una scheggia...ma sarà veramente sempre così?...sicuramente ve lo farò sapere...intanto vi racconto che stamattina subito dopo colazione cosi tanto per fare qualcosa mi sono detto "proviamo se sto azzo di linea adesso funziona..." ho collegato il portatile al cavo ethernet chilometrico in dotazione col modem via cavo e ...con mia sorpresa devo dire...ho scoperto che la Virgin ha finalmente completato le procedure di aggiornamento quindi avrei potuto registrarmi...ho recuperato il PIN (arrivatomi nel frattempo ) e ho cominciato subito il processo...ma alla prima schermata "ERRORE 101 impossibile recuperare informazioni sul modem...riavviare tutto" e io come un pippero (che non sono) ho riavviato sia il modem che il pc...naturalmente riprovando riottengo lo stesso errore...quindi stavolta riavvio solo il modem...aggiorno la pagina (una volta che il modem si è sincronizzato) e passo alla fase 2 (ma come minkia funzionano ste cose...?)...nella fase due mi chiedeva di inserire il pin e il mio cognome...e io tutto allegro digito accuratamente il PIN e il cognome e do invio...e come per magia....ERRORE 202....ahahahahah....azzo...prima ERRORE 101...ora ERRORE 202...che sono fortunato...aahahahhaaa...e poi non vi dico la spiega dell'errore..."Impossibile recuperare i dati relativi alla sua registrazione"...che storia...vabbè a questo punto (dopo aver riprovato a riavviare il modem per tre o quattro volte) non mi restava che ricorrere al tanto amato (ma manco per la FUN) call center...a parte che chiamare i call center della virgin è come chiamare i numeri erotici a pagamento (infatti costano un fottio) poi ci sono sempre quelle signorine che non mi fanno capire nulla...che stress...cmq sono stato al tel con una che per trovare le mie info ci ha impiegato circa 5 minuti (malgrado avessi fornito tutte le mie credenziali)...alla fine per dirmi che dovevo chiamare un altro numero di telefono...ma dico io...sta ZOCC non me lo poteva dire subito?...Comunque senza altra scelta che chiamare mi sono piegato agli eventi e ho chiamato il nuovo numero della virgin media...e finalmente mi risponde un UOMO...ah...e per lo più un tecnico...DOPPIO AH...dovete sapere che per me è molto più semplice al telefono capire l'inglese se a parlare è un UOMO...soprattutto quando si parla di cose tecniche...cmq questo qui è stato molto cortese è disponibile e nel giro di 5 minuti mi ha attivato la connessione...mi ha detto pure (alla fine della telefonata) che visto che si trattava di un loro problema mi avrebbero rimborsato la chiamata (minkia buono...)
Cmq adesso sono di nuovo connesso...e posso riprendere a scrivere quotidianamente su questo blog...
Vi aggiorno per quanto riguarda il week end appena trascorso...
Venerdì sera sono uscito col il mio collega greco e siamo andati in un bar...ora dovete sapere che qui in UK esistono 3 tipi di locali notturni (almeno cosi ho capito fin'ora)...i classici pub inglesi dove si beve e si sta seduti a parlare...i bar che in pratica sono dei disco bar dove si beve, c'è poco posto per sedersi e per lo più si balla, e i club che praticamente è l'equivalente delle nostre discoteche...
Il BAR in questione si chiama REVOLUTION e si trova vicino DEANSGATE...la zona in notturna è molto popolata (soprattutto nel week end) da tutti gli abitanti (e non) di Manchester...il posto era abbastanza pieno di TOPA anche se devo dire che di interessanti ce ne erano pochine e tra queste nessuna era disponibile ad una conoscenza...quindi peccato forse non era il posto giusto...o la sera giusta, chissà...in compenso io e J ci siamo bevuti un bel pò di roba...io 2 mojiito e 1 bacardi ...lui 2 mojiito e 2 birre tipo corona...qui i cocktail li fanno leggerini quindi non ne ho risentito minimamente neachè l'indomani...si sente di più una guinness che 2 mojiito di quelli che ho potuto prendere fin'ora qua.
Siamo usciti dal locale che erano circa le 2 e qualcosa per tornare a casa...ci siamo divertiti comunque anche se non abbiamo conosciuto nessuna.
Sabato sera invece J non se la sentiva di uscire e quindi me ne sono andato da solo al COPACABANA dove speravo ci fosse una serata salsera decente e invece...malgrado la musica fosse accettabile...gli avventori non erano ballerini e quindi è stato difficile ballare..in tutto solo 3 balli e molte ragazze che ti dicevano di no perchè preferivano ballare sciolte o perchè proprio non era cosa loro...
...cmq di tutti quelli che frequentano il posto venerdi (la serata toca per la salsa) non c'era nessuno...evidentemente già sapevano che non è la serata giusta per quel posto...adesso lo so pure io...:-)
Sono tornato a casa verso l'1.30 mentre fuori nevicava...si avete capito bene...neve ancora una volta...ma non freddo...fioccava...sembrava natale nei film americani quando si fanno i pupazzi di neve...mentre camminavo verso casa a un certo punto mi sono fermato a pensare e a guardare intorno a me e mi sono detto "Ma chi minkia lo doveva dire fino a 6 mesi fa che avrei visto la neve in Aprile a Manchester"...come sono cambiate le cose in così poco tempo...devo dire che la vita di prima non mi manca per nulla (almeno per il momento)...qui per ora vivo bene...lavoro giusto e mi diverto quando c'è da divertirsi...mi occupo della casa quando necessita...insomma quello che (ripeto) avrei dovuto fare da tempo ma che per vari motivi non mi è stato possibile fare.
Per quanto riguarda oggi (domenica) dopo l'attivazione della connessione mi sono incontrato in centro con J...ci siamo presi un cappuccino da NERO CAFFE e fatto due chiacchere del più e del meno...cazzo faceva freddo fuori...nevicava ancora ma + freddo rispetto a ieri sera...
Sono tornato a casa verso le 17 e mi sono messo un pò a gironzolare sul web anche per testare la linea...non c'è male.
Tra domani e dopodomani dovrebbero consegnarmi il router wifi...se riesco ad accordarmi col corriere per farmelo consegnare in ufficio perchè io al deposito non ci torno manco per STAGRAN!
Stasera sono indeciso se uscire o meno...intanto vorrei mangiare qualcosa anche se non ho particolarmente fame...magari un pò di frutta...vedremo.
A domani!