Portada
mis comunidades
otras secciones
#3:
Descubrió este problema hace dos años y avisó a Panasonic, a través de IOActive, en marzo de 2015. Pero la multinacional se limitó a cerrar el acceso público al 'software' y también a los investigadores que lo habían denunciado, de forma que no pudieron verificar si lo había solucionado.
Si no se ve el problema no existe.
Si no se ve el problema no existe.
#7:
La "noticia" de El Confidencial es una mierda. El articulo original es bastante interesante: http://blog.ioactive.com/2016/12/in-flight-hacking-system.html
#4:
Gilipollas los de Panasonic... en vez de premiarle por hacer su puto trabajo, estan enfadados... empresas asi de gilipollas se merecen que les pase de todo y nada bueno.
#6:
Repetido (y original) Sistema de hackeo en vuelo
#9:
Lo suyo habría sido ponerles a todos los usuarios en bucle la saga de 'Aterriza como puedas'
Comentarios
Descubrió este problema hace dos años y avisó a Panasonic, a través de IOActive, en marzo de 2015. Pero la multinacional se limitó a cerrar el acceso público al 'software' y también a los investigadores que lo habían denunciado, de forma que no pudieron verificar si lo había solucionado.
Si no se ve el problema no existe.
#3 Le hace un SQL injection como una catedral
#40 Parece que hizo mucho más que eso http://blog.ioactive.com/2016/12/in-flight-hacking-system.html
#47 sí, lo he visto tb, me refería al vídeo de la noticia que es uno de los del blog
La "noticia" de El Confidencial es una mierda. El articulo original es bastante interesante: http://blog.ioactive.com/2016/12/in-flight-hacking-system.html
#5 #15 Y así vamos, uno de los mejores profesionales en seguridad de este país encuentra una vulnerabilidad en un sistema de un avión y por aquí solo se lee gente diciendo que si es una simple curiosidad o una simple inyección sql... En fin... leer el enlace de #7
Gilipollas los de Panasonic... en vez de premiarle por hacer su puto trabajo, estan enfadados... empresas asi de gilipollas se merecen que les pase de todo y nada bueno.
#4 No están enfadados, eso solo lo dice el periodista que quiere hacer ver como una proeza de la ingeniería lo que ha hecho su paisano, todo el artículo es una película mental que se ha hecho él mismo con una curiosidad que descubrió el super hacker de León y que ya lo solucionaron en 2015.
#4 Reconocer el mérito de los demás y el fracaso propio va contra nuestro ADN.
#4 A una marca grande le importa mucho mas lo que la gente piense de ellos que ninguna otra cosa.
#4 Panasonic es una empresa que expedientó a sus trabajadores en otros países por recibir regalos o ir a cenas pagadas por los clientes con los que están negociando. Viven en 1910.
#4 Las empresas tienen una mentalidad muy diferente que la de los hackers. Si no hay consecuencias económicas inmediatas, los "problemas" de seguridad les importan un pepino.
#30 En este caso había consecuencias inmediatas, como no vender su sistema a más aviones, o que los clientes actuales demandasen. Así que su estrategia fue correr un tupido velo y que nadie se enterara de nada, en lugar de arreglar el problema y actualizar gratis a los clientes que ya lo tienen instalado, que es lo que hace una empresa decente.
Los entiendo perfectamente: en la empresa multinacional en que trabajo, si cometo un error intento arreglarlo sin que nadie se entere porque causarían una psicosis generalizada y sería despedido. En los programas que hago como freelance para empresas pequeñas, comento el error, lo arreglo, y me lo agradecen. Son conscientes de que nadie es perfecto.
edit #4 decia lo mismo, y añado en lugar de agradecer el ahorrarte miles de € se hacen los ofendidos
#4 Premiarle? Lo tenian que haber denunciado.
Voy a abrir una empresa de servicios de protección. Me pondré a asustar a incautos con un machete para que vean que fácil es asaltarlos si no tienen uno de mis guardaespladas.
Espero ser recompensado por mis pruebas. Donde vives? No tiene gracia eh? En los dos casos se estan rompiendo la ley. Ni recompensa ni cojones.
Repetido (y original) Sistema de hackeo en vuelo
Sistema de hackeo en vuelo
blog.ioactive.com#6 Sí, y encima ése es el artículo original del leonés en cuestión
Lo suyo habría sido ponerles a todos los usuarios en bucle la saga de 'Aterriza como puedas'
#9 esa es la actitud!!!
#9 Me gusta como piensas, asi, peliculas de aviones que se estrellan y tal, estaria mejor, una como "Viven".
Si ya, me siento cruel, reggaetton.
Y si quiero ser muy hijo de puta, me busco la vida y les pongo 2 Girls 1 a Cup en bucle.
Lo hemos dicho esta mañana, ya no lo vulnera o rompe, ahora se dice "lo revienta"
#13 es español?
- sí
¿Ha inventado algo?
- Mas o menos
¿Como lo ha reventado?
- Con un palo
Lo fende en sienmil pedasos.
Viendo el video del artículo parece que lo que hace es una especie de SQL Injection, lo que le da acceso a la base de datos del sistema multimedia. Si es eso luego hay que ver si realmente hay datos sensibles en esa base de datos o si con ese usuario tiene privilegios para modificar cosas.
#17 si los programadores sin tan mancos de no proteger ante una sal injection, no creo que sepan casi ni que hay que capar al usuario root
#33 De la propia noticia:
El leonés descubrió este agujero en los Sistemas de Entretenimiento Avionics de Panasonic durante un viaje a Dubái. Al hacer pruebas, el sistema le devolvió un mensaje de error que le dio pistas para, una vez en tierra, buscar el 'software' vía Google y descargarlo de sitios públicos. Esto de por sí ya es de una gran vulnerabilidad, porque pudo hacer pruebas con él y descubrir los agujeros que después explotó en el viaje de vuelta a Madrid.
Ha hecho una simple sql injection en ese buscador...o me faltan más videos o no lo veo una gran proeza.
#15 he pensado justo lo mismo. Creo que lo que realmente quiere destacar el periodista es el hecho de haber "hackeado" (odio esta palabra por lo mal aplicada que está) dentro de un avión y no la complejidad del ataque.
#15
Parece que bypasea un pago de tarjeta ¿con ctr+x y ctrl+s?
#19 con el sql injection altera la busqueda restringida a la condicion de pelis gratis a todas... Con la tarjeta no hace na
#26 Anda, pues yo hasta ahora siempre he visto las pelis gratis en los aviones ¿hay algunas de pago? ¿con la tarjeta?
#15 Detrás de un simple SQL Injection suele haber un proceso de investigación mucho más amplio, simplificarlo todo a eso me parece muy injusto.
#27 Bueno, posible estar aburrido en un avión y probar SQL injection no me parece nada raro, no requiere mucha investigación más allá del "a ver qué pasa".
Lo que me hace gracia es que utilicen la expresión "reventando" para eso...
Con sangre fría, el 'hacker' se graba a sí mismo 'reventando' los sistemas del avión. Más tarde lo subiría a YouTube (lo puedes ver en el vídeo debajo).
Para algunos lo de mirar los enlaces del propio artículo y no quedarse solo con lo del video del sql es mucho esfuerzo.
P.D.: la noticia es una mierda de esas tal como lo redactan. ¿Qué coño es eso de un silencio espeso?
#25 "Ahora, quienes tal vez tengan miedo a volar seamos nosotros."
#25 ¿Lo que hay después de un pedo con sorpresa?
grande@reversemode
¿Watch Dogs?
#8 Pues como el argumento sea igual de mierder...
#52 Creo que solo lees lo que te da la gana...eso de "sistema de gestion de bases relacional" que he escrito ni lo has leido ¿verdad?.
SQL es un lenguaje (¿quien ha dicho lo contrario cuñado?) pero MySQL, Oracle y demas productos sobre SQL son consideradas implementaciones, entre otras cosas porque (tachan!) no son 100% "intercambiables".
Yo entiendo que tú, OhAmoDeSQLqueTodoLoSabe, con tus Select mierder pienses que oh!EstosSelectMierder funcionan sin problemas en Oracle, PostgreSQL y MySQL.
Y entonces cuando dejas tus libros de programación básica te encuentras que en Oracle existe un SELECT DECODE, o que mas allá de tus VARCHARs, DATE, TEXT del ANSI SQL resulta que en cada una de las implementaciones del lenguaje se han extendido con variables propias, por lo que hay Data Types en bases de datos Oracle que no encontraras en MySQL. Te dejo como deberes que busques cuales son, a lo mejor así te ayudo a reducir tu nivel de cuñadómetro.
De igual manera hay funciones SQL que son propias de cada implementación, la base de datos Informix de IBM( a lo mejor ni te suena) tiene una función llamada FRACTION que probablemente no te vas a encontrar en otras implementaciones de lenguaje SQL.
Precisamente porque SQL es un lenguaje declarativo y no un lenguaje imperativo es por lo que las empresas han desarrollado sus "propias implementaciones SQL añadiendole funcionalidades extras" a lo que yo cariñosamente he apodado "implementaciones", y que es el término (implementations) que usamos en inglés en el día a día.
Pero es más, la forma de implementar el lenguaje SQL tiene sutiles diferencias en MySQL y en Oracle, y es por eso por lo que se pagan millonadas (para asegurar una correcta migración).
Varios ejemplos:
- En MySQL la base de datos y las tablas tiene una sensibilidad a mayusculas(case sensitivity) dependiendo sobre que Sistema Operativo corra(Windows o Linux). En Oracle no.
- En MySQL puedes utilizar palabras reservadas como TIMESTAMP o DATE como "unquoted identifiers" para nombre de objetos, en otras implementaciones SQL no te lo permiten.
- En Oracle un identificador no puede comenzar por un digito, en otras implementaciones puedes.
Te daría otras 50 razones más por lo que a MySQL, Oracle, Postgre, Informix les llamamos "implementations" y es que aunquw beben del mismo lenguaje SQL, cada uno de ellos presentan particularidades únicas(datatypes adicionales) y funcionalidades adicionales.
Otro día si quieres, y tu nivel te lo permite, hablamos del ANSI SQL y sus derivados.
Cuñado.
#52 Por cierto, he subido en tu honor una noticia donde se "Comparan diferentes implementaciones SQL" : comparativa-diferentes-implementaciones-sql-eng/c01#c-1
Comparativa de diferentes implementaciones SQL [EN...
troels.arvin.dkEspero que así tu boca deje de ser mas grande que tus conocimientos.
#54 qué paletazo eres. Me vas a dar clases a tú a mí
Sería divertido poner un vídeo de un terrorista islámico diciendo que el avión va a explotar. Bueno divertido no, peligroso.
Pero el bicho ese, el SQL injection, ¿eso cuantos campos de fulbol son?
Iba a criticarte porque parece que todos tenemos que tener tu perfecto nivel de inglés C2, pero la verdad es que el artículo que ha escrito se entiende bastante bien.
Ahora bien, no esperarás que El Confidencial explique con todo lujo de detalles como hackeo el sistema del avión...
Un MYSQL injection en toda regla
Si es que...Noobs...
#32 Noobs? Hablo de putas la tacones.
Que es un MYSQL injection? sera un SQL injection, independientemente de el backend que tengan detras, que no es relevante.
#34
Perdón por el desliz, estaba hablando por teléfono sobre MySQL y MongoDB mientras miraba el video y se deslizó el My de más. Además se coló el "injection", cosas de hablar en inglés por teléfono con el equipo de desarrollo mientras escribes en español.
Tiene narices que sea el primero en ver el video, identificar la inyección SQL, entender lo que está haciendo, compartirlo en un comentario...pero resbalar en un My y que te venga el karmawhore talibánico de turno a llamarte tacones.
Un respeto: Soy muy puta y de taconazos altos ya ves.
Y si pretendes corregir, hazlo decentemente. Con todo mi amor de pago: Que es eso de "independientemente del backend utilizado"? Quien ha hablado aquí de backends?Estas llamando backend a MySQL?Desde cuando MySQL es un backend? Que tiene que ver el backend aquí?MySQL, al igual que otras implementaciones SQL, es un sistema de gestión de base de datos. Y si quieres especificar: relacional. Las diferentes implementaciones SQL se llaman así: implementaciones. No backends.
Para llamarme Tacones antes debes de ser Madame y no cuñado de la misma.
#46 eres un cuñado de puta madre. MySQL no es una "implementación sql". Sql es un lenguaje y nada más. Implementar el lenguaje es solo una parte mínima de un sistema de bases de datos.
Cómo odio a esos putos frikis que no le aportan nada útil al mundo: enseñar que hay un fallo, por diversión, en un vuelo lleno, es de mierdas...
#24 Eso es, coño ya. Si lo hacen al menos que sea para estrellar el avión... pero... ¿Por diversión? Putos mierdas...
#24 Según el artículo el tio este trabaja en una empresa de seguridad, que casualmente se dedica también a auditar este tipo de aplicaciones. Supongo que comunicar el fallo es un medio de que luego le contrataran.
A Merce Molist le pone el hacker leonés.
Sql inyection de primero de parvulos