Amatőrök jobbról-balról

Szerencsére nem kell messzire menni, hogy szerkesztőségünk megszólaltasson egy informatikust az OVB weboldalának feltörése kapcsán. Itt vagyok mindjárt én. Öninterjú…

Na, azért idáig mégsem süllyedünk, éppen elég, hogy van olyan párt, amelyiknek az alelnöke saját magával készít interjúkat, nehogy gond legyen a fogalmazással. Vegyük csak szakmai górcső alá kis kelet-európai állatkertünk mai szenzációját, miszerint valaki feltörte az Országos Választási Bizottság honlapját, és beszólt bizonyos pártoknak, másoknak meg nem!

Köztudomású, hogy a Kuruc.infó egyik főszerkesztője Novák Előd, a Jobbik alelnöke. Ezen kijelentésért már sokszor be akart perelni az igen művelt, egészen az érettségiig eljutott alelnök úr, ám mindezidáig csak a Kuruc.infó lapjain való névtelen fröcsögésig jutott, amúgy úriemberhez méltón, mármint olyan úriemberhez, aki lazán kitúrja a bajtársának nevezett személyt a lehetőségből, hogy esetleg belátható határidőn belül kikerüljön az előzetes letartóztatásból, vagy legalább megpróbálja. (Nem tudja követni a T. Olvasó? Nem baj, lassan mi sem.) A lényeg, hogy Novák írogat ezen a csodálatos hírportálon, rendszerint álnéven, illetve ő maga hozza le saját közleményeit, így aztán egyértelműen kijelenthető, hogy a Jobbik adott megrendelést az OVB weboldalának feltörésére. (Tessék ezért is perelni, cím a szerkesztőségben.) A Jobbik alelnöke úgy gondolta, pártja renoméját és feddhetetlenségének látszatát mi sem igazolná jobban, mint egy hackertámadás, még ha oly nevetséges is, de mégiscsak az. Indoklás van bőven, például hogy az OVB elnöke “bűnpártoló”, amiért a rendes ügymenet szerint készült megsemmisíteni egy helyi választás ajánlószelvényeit, melyek az alelnök úr szerint hamisak, s egyébként szerinte én hamisítottam őket, bár a Fővárosi Bíróság egy nemrég kimondott ítélete szerint ez nem így van, csak ezt az ítéletet hiába tetszenek keresni a Kuruc.infón. (No meg különben is, ki figyel oda a “rezsim bíróságára”, ha nem a “hazafiaknak” ad igazat. Akkor persze vérbíróvérbíró.)

Ezúton is gratulálunk Novák Elődnek. Újabb önjáró lépéssel sikerült kissé leégetnie pártját, mert bár lehet, hogy a Kuruc.infón elolvassák pár tízezren, hogy miért történt ez, a mainstream médiában – egyébként tényszerűen – az lesz olvasható, hallható, hogy egy jobbikos hacker feltörte egy állami hivatal weboldalát, és gyalázkodó szövegeket helyezett ott el. Azt nem tudom, meg fogja-e kérdezni Vona Gábortól valami riporter, hogy mi a véleménye erről, de tartok tőle, ezúttal nem lesz helyes válasz az izraeli kivándorlás felajánlása. Főleg, ha még mindig nem tudják, mit is akarnak tulajdonképpen a csendőrséggel.

A Jobbik tehát amatőr, mert többet ártott magának, mint használt. Bűncselekmény látszatába keverte magát, de legalább nem közpénzből. Lássuk a másik oldalt, s hívjuk elő a bennem lakozó informatikust.

Az OVB weboldala a közbeszerzések terepén szerénynek mondható, bruttó egymilliárd forintból készült el. Először is leszögezném: messze nem ér annyit. Dehát láttunk ennél drágábbat is, mint például a 300 milliárdért megalkotott kormanyszovivo.hu-t, szóval nem is érdekes, hogy egymilliónál nem került volna többe az egész, ha tisztességes módon szerzik be. Na jó: legyen kétmilla, és akkor már brutálisak voltunk.

Ehhez képest hihetetlenül dilettáns megoldás, ahogyan a fentebb látható táblázat címkiíratása működik. Ezt ugyanis nem az oldal, a szerveren futó program (hogymonnyammagának, kedves laikus Olvasó, hogy szerveroldali script) hozza létre, hanem a böngészőbe a felhasználó által beírt paraméter határozza meg. Magyarán nulla informatikai tudással elérhető, hogy a felirat más legyen. Persze csak a módosított linket beíró személy képernyőjén. Mások továbbra is azt látják, amit kell.

Olyan ez, mintha a portálunk címsorában olvasható feliratot így íratnánk ki: http://www.ellenkultura.info?cim=Ellenkultúra. Így ha valaki azt írja a böngészőjébe, hogy http://www.ellenkultura.info?cim=AMATEUR FISTING GANGBANG VIDEOS, akkor az lesz az Ellenkultúra felirat helyén. (De nem lesz, nem érdemes kipróbálni. Csak a példa kedvéért írtam.) Ha pedig ezt a módosított linket széles körben elterjesztjük, sokan fogják így látni az oldalt, akkor is, ha egyébként nem ez van odaírva.

Nem újdonság ez. Néhány éve volt egy hirdetés, egy utazási iroda reklámja, amelyben egy eksztázisban kacagó fiatal hölgy emelgetett egy táblát, rajta az iroda reklámszövegével. Hamar közröhej tárgya lett, hogy a feliratot egy hasonló paraméterrel bárki saját kedvére átírhatja, így a humoroldalak tele lettek a szegény hölgy erkölcseit ugyancsak megkérdőjelező változatok lementett képeivel. Szegény.

Mindent összefoglalva, a Kuruc.infó hackelése nem hackelés. Nem változott meg semmi az OVB weboldalán, nem fértek hozzá adatokhoz, nem is tudtak módosítani semmit. Egy határozottan dilettáns hibára hívták fel a figyelmet, egyébként helyesen, hiszen egymilliárd (EGY-KIB…-MILLIÁRD, szótagolná Frei Tamás, ha hagynák) forintért készült weboldalon az ilyesmi szégyen. De nem valósult meg semmiféle bűncselekmény. Pedig éppen meg is valósulhatott volna, hiszen a Hungarian Unix Portal szakmai fórumán a hír kipattanása után sepec alatt találtak valódi hibát, valódi betörési lehetőséggel. Annyi azonban bizonyos, hogy a Jobbik reputációjának nem tett jót a dolog, mert az átlagember nem tudja, mi az a reflektív XSS sebezhetőség, és a legutóbbi választások idejéről is csak annyira emlékezhet, hogy a Fidesz feltörte az MSZP szerverét (emlékeznek?), arra már nem, hogy az se hackelés volt. A Jobbik alelnöke kabátlopási ügybe keverte pártját egy kis hecc miatt. Gratulálunk! Amatőr tehát ebben a történetben mindenki, így Novák, a Jobbik, az OVB fejlesztői, de az is, aki a hibát megtalálta. Ehhez ugyanis nem kell sok szakértelem, egy unatkozó gimnazista is rá tud jönni ilyesmikre, s nagyjából erre a szintre vall a szédítő felfedezés ilyen szenzációs tálalása is.

Tomcat