Исходное сообщение
"Какой ISP Billing посоветуете?" Отправлено mcout, 02-Дек-06 13:21
Здравствуйте, товарищи. Рад вам сообщить, что в биллинге cherry обнаружена огромная дыра, за это скажите спасибо глубокоуважаемому разработчику Короленко Евгению Александровичу. Аффтор забыл или специально не захотел  защитить chery от sql-иньекций, что было обнаружено мною вчера вечером. Например, открываем форму проверки состояния лицевого счета и в поле логин вводим: '; begin; update base_clients set balance = 20000 where client_id=1716; commit; select * from pay_card_services where 'a'=' 20000 – это сумма на балансе 1716 – номер лицевого счета. Отправляем форму на сервер и на нужном счете 20000 рублей. Все! Используем инет за счет провайдера, устраиваем новогоднюю акцию – каждому абоненту трафик на 1000000 рублей в подарок от Деда Мороза и т.п. Если захотеть, то и логи почистить можно или вообще базу очистить, так как никаких препятствий к этому нет. Вот и все. До свидания. Или как говорил Терминатор: «Hasta la vista, cherry». Бугагагга.