JSP source Albert Heijn pagina zichtbaar

[Roland]

Al enige tijd was op de site ah.nl de JSP code te zien. Na wat mailtjes hebben de makers er eindelijk wat aan gedaan.

Nu ben ik weer gaan kijken en tot mijn stomme verbazing zie ik dit staan:

code:

<%@ page language="java" %><%@ 
 page errorPage="website/error.jsp" %><%@ 
 include file="_jsp/constants.inc" %><%@ 
 include file="_jsp/lib.inc" %><%@ 
 include file="_jsp/librecept.inc" %><%@ 
 include file="_jsp/libreceptvandedag.inc" %><%@ 
 include file="_jsp/libtheme.inc" %>
<%

En dat alles is te zien op deze pagina: http://141.93.35.142/

Kan dit kwaad? Of moet er maar weer een mailtje worden gestuurd?

[wasigh]

mailtje sturen is wel netjes ja. Of het kwaad kan? Als de systeembeheerder zijn vak verstaat niet..

[Roland]

Nee maar dit staat dus echt al Maaaanden open. En ik heb al een aantal keren gemaild! Ze doen er dus echt helemaal niets aan!

En trouwens als je naar de makers kijkt, dat zijn echt geen kleine jongens..

[Verwijderd]

Programmeurs zijn ook maar mensen, en mensen maken fouten. Als ik voor elke programmeerfout die ik maak een loonsaftrek van 1 euro krijg hou ik geen salaris meer over

Stel dat jij de AH website had gemaakt. Dan had je het ook fijn gevonden als je er op geattendeerd werd dat er fouten inzitten.

Oftewel, gewoon netjes eventjes melden, het is een kleine moeite en je maakt er personen blij mee

[wasigh]

Op zondag 10 februari 2002 13:27 schreef Gordijnstok het volgende:
Programmeurs zijn ook maar mensen, en mensen maken fouten. Als ik voor elke programmeerfout die ik maak een loonsaftrek van 1 euro krijg hou ik geen salaris meer over

Stel dat jij de AH website had gemaakt. Dan had je het ook fijn gevonden als je er op geattendeerd werd dat er fouten inzitten.

Oftewel, gewoon netjes eventjes melden, het is een kleine moeite en je maakt er personen blij mee

* wasigh heeft het al gemeld
en erbij verteld dat hij AH-werknemer is

[Roland]

Ja ik heb zelf ook al gemaild,

Maar dat deze code niet geparsed wordt, want zover ik weet is dat het... Vindt ik wel een HEVIGE fout... Toch? En zeker als je er al een aantal keren op bent geattendeerd.

[LuCarD]

Op zondag 10 februari 2002 13:28 schreef wasigh het volgende:

[..]

* wasigh heeft het al gemeld
en erbij verteld dat hij AH-werknemer is

Je werkt achter de Kassa???

[wasigh]

Op zondag 10 februari 2002 13:31 schreef LuCarD het volgende:

[..]

Je werkt achter de Kassa???

mm ja

tegenwoordig wel
maar ik kan alles (behalve deli en brood )

[Verwijderd]

Het is inderdaad wel een slordige fout, maar ach als ik de source zo bekijk staan er geen bijzonder kritische data in. Bovendien zijn er niet veel lui die JSP verstaan.

[mbravenboer]

Roland: Al enige tijd was op de site ah.nl de JSP code te zien.

.

Nu ben ik weer gaan kijken en tot mijn stomme verbazing zie ik dit staan

Dat schiet op ja .

Kan dit kwaad?

Kwaad niet, dom is het wel. Je kunt trouwens ook nog gewoon alle files in de _jsp directory bekijken .

http://141.93.35.150/nl/AH/content/_jsp/lib.inc
http://141.93.35.150/nl/AH/content/_jsp/constants.inc
http://141.93.35.150/nl/AH/content/_jsp/libreceptvandedag.inc

Wat een ongelofelijke zooi is het trouwens op sommige plekken op het eerste gezicht .

Ze gebruiken wel XSL

code:

   /**
    * Write out all sections with the XSL processor and specify the xsl file.  
    */

[wasigh]

Op zondag 10 februari 2002 13:34 schreef Gordijnstok het volgende:
Het is inderdaad wel een slordige fout, maar ach als ik de source zo bekijk staan er geen bijzonder kritische data in. Bovendien zijn er niet veel lui die JSP verstaan.

elke java programmeur kan ook JSP hoor

[mbravenboer]

* mbravenboer heeft trouwens de XSL afdeling gevonden .

Die zien er wel netjes uit .

[Verwijderd]

Op zondag 10 februari 2002 13:35 schreef wasigh het volgende:

[..]

elke java programmeur kan ook JSP hoor

Das waar maar niet elke Java programmeur heeft het web als doelgroep voor zijn Java programmatuur

[Verwijderd]

Op zondag 10 februari 2002 13:38 schreef mbravenboer het volgende:
[afbeelding]

Kan je zo'n mbravenboer-certificated-XML banner aanvragen . Hoeveel zou dat dan moeten kosten

[Nielsz]

Op zondag 10 februari 2002 13:38 schreef mbravenboer het volgende:
* mbravenboer heeft trouwens de XSL afdeling gevonden .

Die zien er wel netjes uit .

[afbeelding]

[mbravenboer]

KoenM: Kan je zo'n mbravenboer-certificated-XML banner aanvragen .

Nee, ik ga zelf op zoek naar kandidaten . Je kan wel voorgedragen worden door anderen .

Hoeveel zou dat dan moeten kosten

Onbetaalbaar. Het is net een Olympische medaille: je moet er voor strijden . Alleen een zeer fraaie XSL stylesheet of een mooie XML oplossing met fraaie XML structuren komt in aanmerking voor deze grote eer .

[thijsc]

Wel raar trouwens dat ze zoveel in jsp bestanden en includes doen.

Veel dingen die ik hier in deze bestandjes zie staan zou ik zelf in classes stoppen.

[Roland]

De makers zijn Fabrique en zij hebben een CMS (Content Management Systeem) Ik heb hier zelf ook mee gewerkt, maar dan bij Snakeware. Dus ik snap ergens wel hoe het in elkaar zit.

Maar ik blijf het slordig vinden

[Verwijderd]

LOL die comments!

-> http://141.93.35.150/nl/AH/content/_jsp/lib.inc

// Bah, gadverdamme, iemand wil een java.lang.Exception gooien.


Ik heb nog geen database connection parameters gevonden in deze brei van shit. Wat ik niet begrijp is dat ze geen components gebruiken maar alle code in die pages te proppen. (en oh oh oh wat een stelletje krassers zijn hier aan het werk geweest zeg)

[Verwijderd]

Op zondag 10 februari 2002 14:05 schreef Roland het volgende:
De makers zijn Fabrique en zij hebben een CMS (Content Management Systeem) Ik heb hier zelf ook mee gewerkt, maar dan bij Snakeware. Dus ik snap ergens wel hoe het in elkaar zit.

Maar ik blijf het slordig vinden

Nou, de code in lib.inc (hoe bedoel je, !DOM! : je include file de extensie .inc meegeven. leren we dan NIKS?) is totaal NIET onderhoudbaar -> hij print html in code, bv:

(copy/paste)

code:

            out.print("\r\n<table width=\"100%\" border=\"0\" cellpadding=\"0\" cellspacing=\"0\"><tr><td>");
            printSection(bean, session, out, request, doc, xsl);
            out.print("</td></tr></table>");
            if (i < v.size() - 1) {
                nextlink = theme.getLink(i + 1);
                if (nextlink != null) {
                    out.print("\r\n<a name=\"section");
                    out.print(nextlink.getTargetID());
                    out.print("\"></a>");
                }
            }
            out.print("<a href=\"#top\"><img src=\"");
            out.print(AH_ROOTPREFIX);
            out.print("_images/omhoog.gif\" border=\"0\" width=\"14\"");
            out.print(" height=\"14\" alt=\"Omhoog\"");
            out.print(" vspace=\"3\" hspace=\"0\"/></a><br clear=\"all\"><br>");

Nou, dan weet ik het niet, maar als je een CMS opzet dan doe je dat met templates, niet met dit soort poepcode, waarbij de html structuur totaal niet meer zichtbaar is. Dus dat dit is gemaakt met het CMS betwijfel ik, of de term 'CMS' is niet zo van toepassing hier

[Verwijderd]

Op zondag 10 februari 2002 13:34 schreef Gordijnstok het volgende:
Het is inderdaad wel een slordige fout, maar ach als ik de source zo bekijk staan er geen bijzonder kritische data in. Bovendien zijn er niet veel lui die JSP verstaan.

Niet? Ik heb nog nooit 1 regel getikt in een jsp, maar het is volkomen leesbaar hoor. Ok, wel eens wat in java gedaan, maar voor de rest is het net een asp page met jscript code.

[Verwijderd]

Op zondag 10 februari 2002 13:34 schreef wasigh het volgende:

[..]

mm ja

tegenwoordig wel
maar ik kan alles (behalve deli en brood )

vakbroeder

[chris]

/*
IMPORTANT NOTE:
All users are using the same JSP page object. As a result,
variables that change depending on the content should not
be part of the class, i.e. no member variables. If you were
to make them member variables, one user would overwrite
the values just set to a given variable, after which another
user sees the wrong data. This could be circumvented with
object locking (synchronization), but that would cause an
unacceptable perfomance penalty: blocking one users process
until the other user is done. It could even cause starvation,
quite easily. If you don't understand this, close this file
immediately.

LESSON:
All document specific variables must be _jspService local
variables.
*/

[chris]

Ok, dit gaat dus niet alleen om de AH site.
Als je gaat naar http://141.93.35.150/ en dan heel snel op stop drukken voor dat 'ie refresht, zie je deze code:

code:

<!DOCTYPE html PUBLIC "-//W3C//DTD html 4.0//EN">
<html>
<head>
<meta name="description" content="Albert Heijn home shopping" />
<meta name="keywords" content="e-commerce,webshop,albert heijn" />
<title>Ahold</title>

<script>
<!--

if (location.href.toLowerCase().indexOf(("www.ah.nl")) != -1)
{
    location.href="/nl/AH/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.etos.nl") != -1)
{
    location.href="/nl/ET/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.gall.nl") != -1)
{
      location.href="/nl/GA/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.delixlshop.nl") != -1)
{
      location.href="/nl/XL/content/start.jsp";
}

else if (location.href.toLowerCase().indexOf("www.detuinen.nl") != -1)
{
      location.href="/nl/TU/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("ah-thuisservice.ah.nl") != -1)
{
      location.href="http://www.albert.nl/ah";
}

else if (location.href.toLowerCase().indexOf("ah.nl") != -1)
{
      location.href="http://www.ah.nl/nl/AH/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.albert.nl") != -1)
{
      location.href="/aa";
}

else
{
    location.href="http://www.albert.nl/aa";
}
//-->
</script>
</head>
<body  bgcolor="White" leftmargin="0" topmargin="0" >

</body>
</html>

En dan gaat het met name hierom:

code:

if (location.href.toLowerCase().indexOf(("www.ah.nl")) != -1)
{
    location.href="/nl/AH/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.etos.nl") != -1)
{
    location.href="/nl/ET/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.gall.nl") != -1)
{
      location.href="/nl/GA/content/index.jsp";
}

else if (location.href.toLowerCase().indexOf("www.delixlshop.nl") != -1)
{
      location.href="/nl/XL/content/start.jsp";
}

else if (location.href.toLowerCase().indexOf("www.detuinen.nl") != -1)
{
      location.href="/nl/TU/content/index.jsp";

Oftwel je kan de source zien van de volgende sites:

www.ah.nl
www.etos.nl
www.gall.nl
www.delixlshop.nl
www.detuinen.nl

Wat ontzettend slordig!

[Verwijderd]

Wat ik ook niet helemaal snap aan die code is dat ze overal exceptions throwen, althans dat stellen ze in, maar ze catchen nauwelijks errors. Kennelijk gaan ze er vanuit dat alles maar goed gaat oid. Erg brak gebeuren, en zeker geen goede reclame voor die frutseltoko 'Fabrique Nieuw Media' die dit in elkaar gehackt heeft.

[Verwijderd]

wat boeit het dat je de src kan lezen, staat niet veel bijzonders in of wel ?

[Verwijderd]

Op zondag 10 februari 2002 21:25 schreef lill_cuz het volgende:
wat boeit het dat je de src kan lezen, staat niet veel bijzonders in of wel ?

_Gelukig_ niet. Want als in deze source ook database wachtwoorden hadden gestaan waren die vast door iemand (niet zozeer van /14) vast wel zo lollig geweest om daar ff te 'kijken'. En da's niet zo netjes maar gebeurd helaas wel .

[Verwijderd]

tis erg prof... vind ik mja wat moet je er mee :-) mischien dat de libs handig zijn en of je er wat van kan leren

[Verwijderd]

Open Source

[The - DDD]

Als je deze source wil gebruiken ben je niet echt slim bezig, gebeuren af en toe vreemde dingen in.

Zoals hier bijvoorbeeld:
Er wordt in de throws clausule een Exception aangegeven. Ten eerste: EEN Exception?? Meestal ben je wel wat specifieker daarmee.
Ten tweede, wat is de functie? Een try block met een catch die alle Exceptions opvreet?????? Ja er kan een IlligalArgumentException optreden, maar dan declareer je die toch ook als zijnde een IllegalArgumentException in de throws clausule, je mag er meerder in noemen als je wil.

Dus het ding kan exceptions gooien, maar doet dat echt never nooit niet. Alleen als de input verkeerd is, en dat zou als het goed is, niet voor moeten komen. Input van gebruikers/externe bronnen check je namelijk altijd op correctheid. Informaite die in beheer is van je programma zou ten alle tijden correct en consistent moeten zijn. Tuurlijk, zo is makkelijk (lijkt het). Verder worden alle exceptions middels try/catch block opgevreten.

Echt snugger zijn ze bij dit bedrijf dus niet. Ze zetten source zo beschikbaar, en de code barst van de dingen die niet kloppen.

code:

private static void printSection(
        ContentAccessBean bean, SessionData session, 
        JspWriter out, HttpServletRequest request, 
        ArticleData article, int index, String xsl)
    throws Exception
    {
        if (article == null)
            throw new IllegalArgumentException("printSection(): no article.");

        try {
            // Create Javascript information object with image information:
            printCmsContainer(bean, session, out, article);

            Node n = article.getSectionsNode(index);
            if (n == null) {
                return;
            }
            out.print(ContentUtil.processXML(request, n, xsl));
            
        } catch (Exception x1) { 
            // Bah, gadverdamme, iemand wil een java.lang.Exception gooien.
            out.print("Fout tijdens het uitschrijven van de tekst: \r\n" +
                x1.getClass().getName() + ": "+ x1.getMessage());
        }
    }

[wasigh]

Op zondag 10 februari 2002 18:22 schreef Otis het volgende:
Wat ik ook niet helemaal snap aan die code is dat ze overal exceptions throwen, althans dat stellen ze in, maar ze catchen nauwelijks errors. Kennelijk gaan ze er vanuit dat alles maar goed gaat oid. Erg brak gebeuren, en zeker geen goede reclame voor die frutseltoko 'Fabrique Nieuw Media' die dit in elkaar gehackt heeft.

JSP catched automatosch de exceptions, en je krijgt dan een mooie code 500

[Verwijderd]

Op vrijdag 15 februari 2002 13:21 schreef wasigh het volgende:

[..]

JSP catched automatosch de exceptions, en je krijgt dan een mooie code 500

Dat bedoel ik. . een gebruiker heeft daar geen ruk aan, dus moet je die daar niet mee opzadelen maar moet je ze opvangen. (afvangen?)

[jelmervos]

Volgens mij heb je bijzonder weinig aan die source, of zie ik dat verkeerd?

Netjes is het zeker niet.

[jelmervos]

Volgens mij heb je hier meer aan:

www.essentathome.nl:

code:

<%
  Function HasValue (pField)
    If (Not IsNull(pField)) And (RTrim(pField) <> "") Then
    HasValue = True
    Else
    HasValue = False
    End If
  End Function
%>

<%
  Dim DB, cmdTemp, RS

  Set DB = Server.CreateObject("ADODB.Connection")
  DB.ConnectionTimeout = 15
  DB.CommandTimeout = 30
  DB.Open "PROVIDER=MSDASQL;DRIVER={SQL Server};SERVER=***.***.**;DATABASE=essenthome;", "essenthome", "***KABELmodems*"
  Set cmdTemp = Server.CreateObject("ADODB.Command")
  Set RS = Server.CreateObject("ADODB.Recordset")
%>

www.essentathome.nl is wel goed beveiligd, jaaaaaa..

_{Bepaalde gegevens heb ik met *** vervangen}

[raptorix]

Op vrijdag 15 februari 2002 16:10 schreef jelmervos het volgende:
Volgens mij heb je hier meer aan:

www.essentathome.nl:

code:

<%
  Function HasValue (pField)
    If (Not IsNull(pField)) And (RTrim(pField) <> "") Then
    HasValue = True
    Else
    HasValue = False
    End If
  End Function
%>
Lol, uhm ja nogal voord de hand liggend :)
<%
  Dim DB, cmdTemp, RS

  Set DB = Server.CreateObject("ADODB.Connection")
  DB.ConnectionTimeout = 15
  DB.CommandTimeout = 30
  DB.Open "PROVIDER=MSDASQL;DRIVER={SQL Server};SERVER=***.***.**;DATABASE=essenthome;", "essenthome", "***KABELmodems*"
  Set cmdTemp = Server.CreateObject("ADODB.Command")
  Set RS = Server.CreateObject("ADODB.Recordset")
%>

www.essentathome.nl is wel goed beveiligd, jaaaaaa..

_{Bepaalde gegevens heb ik met *** vervangen}

Ging iets mis ofzo uh ja lag voor de hand die naam

[jelmervos]

Op vrijdag 15 februari 2002 16:37 schreef raptorix het volgende:

[..]

[Blue-eagle]

Waarom ligt de schuld eigenlijk bij de programmeur? Ik bedoel, als het nou gewoon de hostingprovider is dan? Verkeerde server onder de .jsp pages ofzo? Kan toch? programma-technisch is het niet erg slim ofzo, maarja.. je gaat er niet vanuit dat iemand in je code kijkt.. toch?

[martinvw]

Uhm, je kan toch ook online inkopen doen bij AH dus zal er toch ergens een database oid achterhangen. Dat maakt het allemaal een stuk intressanter.

[jelmervos]

Op vrijdag 15 februari 2002 19:31 schreef M4rt1nvW het volgende:
Uhm, je kan toch ook online inkopen doen bij AH dus zal er toch ergens een database oid achterhangen. Dat maakt het allemaal een stuk intressanter.

Yep, en dan zoek je zo'n stukje als je hierboven ziet van Essent.

[brammetje]

Op vrijdag 15 februari 2002 19:44 schreef jelmervos het volgende:
Yep, en dan zoek je zo'n stukje als je hierboven ziet van Essent.

auw auw auw..
ik heb hem ook al te pakken, echt ontzettend lullig dit soort dingen

ik zal der geen last van hebben, als ik dan een .inc bestand gebruik dan plak ik er gewoon .php achter..
Wat ook altijd fijn is is om even een .htaccess in je includedir te maken, dan kan men er sowieso niet bij.

[xshredx]

Op vrijdag 15 februari 2002 20:06 schreef brammetje het volgende:
ik zal der geen last van hebben, als ik dan een .inc bestand gebruik dan plak ik er gewoon .php achter..
Wat ook altijd fijn is is om even een .htaccess in je includedir te maken, dan kan men er sowieso niet bij.

include directories zet je toch gewoon buiten je webroot, neen?
dan kun je er zeker niet aan, .htaccess of niet.
of ben ik aan het zeveren?
in mijn sites staan alle includes in een directory buiten de webroot, en daar staan o.a. de database paswoorden in.

[brammetje]

Op vrijdag 15 februari 2002 20:10 schreef xshredx het volgende:
include directories zet je toch gewoon buiten je webroot, neen?
dan kun je er zeker niet aan, .htaccess of niet.
of ben ik aan het zeveren?
in mijn sites staan alle includes in een directory buiten de webroot, en daar staan o.a. de database paswoorden in.

Kan ook, maar er zijn weer een aantal providers waar dat niet kan, een .htaccess kan eigenlijk bijna altijd, sim-pel.

[Verwijderd]

Op vrijdag 15 februari 2002 16:10 schreef jelmervos het volgende:
Volgens mij heb je hier meer aan:
[buttcode deleted]
www.essentathome.nl is wel goed beveiligd, jaaaaaa..
_{Bepaalde gegevens heb ik met *** vervangen}

Ik klik op die link en krijg gewoon de page...

[jelmervos]

Op vrijdag 15 februari 2002 20:14 schreef Otis het volgende:

[..]

Ik klik op die link en krijg gewoon de page...

Tuurlijk. Ga hier die link naar die error niet posten. Kan iedereen een beetje die DB gaan lopen editten he. Daarom ook die *** he.

[brammetje]

Op vrijdag 15 februari 2002 20:23 schreef jelmervos het volgende:
Tuurlijk. Ga hier die link naar die error niet posten. Kan iedereen een beetje die DB gaan lopen editten he. Daarom ook die *** he.

naja, ik heb 3 urls geprobeert en ik had hem te pakken..
wel een beetje jammer dit..

[Bluestorm]

Op vrijdag 15 februari 2002 20:23 schreef jelmervos het volgende:

[..]

Tuurlijk. Ga hier die link naar die error niet posten. Kan iedereen een beetje die DB gaan lopen editten he. Daarom ook die *** he.

Die error heb je overigens ook niet echt nodig ( * Bluestorm had 2 keer raden nodig om de goede url te vinden...)

Zelf gebruik ik voor include bestanden meestal ook gewoon inc.php , maar ik zie dat ik net zo erg bezig ben want:

.inc.php.bak geeft de source (nee ik zeg niet welke site
Heel veel editors geven dit soort backup bestanden en ik vraag me af of ik de enige ben die weleens wat op de server edit en dan de backup bestandjes niet delete...

[raptorix]

Overigens valt het bij essent denk ik nogal mee omdat ze de db volgens mij wel gefirewallt hebben, kan zijn dat ik het ff niet goed deed maar slordig is het wel

[jelmervos]

Op vrijdag 15 februari 2002 20:59 schreef raptorix het volgende:
Overigens valt het bij essent denk ik nogal mee omdat ze de db volgens mij wel gefirewallt hebben, kan zijn dat ik het ff niet goed deed maar slordig is het wel

Klopt, die firewall checkt je IP voordat je mag connecten.

Valt me weer van ze mee.

[Infinitive]

Wat ik nu niet begrijp is dat degene die deze site gemaakt hebben er zulke beveiligingsgaten in hebben zitten. Je zou toch tenminste moeten verwachten dat ze niet de eerste en de beste prutser voor zo'n site ingehuurt hebben. Blijkbaar heb ik het mis.

Mijn eerste webscript (in perl) heb ik een jaar of vijf geleden voor het eerst geschreven. Ik wist daar echt nog helemaal niets van af (kon hooguit wat basic en java), maar binnen hetzelfde uur dat ik wat documentjes aan het lezen was, had ik al over dit soort problemen gelezen...

Alle code die geimporteerd moet worden in het veiligst buiten de webtree (je bestanden renamen naar .inc.php of .inc.pl kan ook wel, maar zou in principe nog een beveiligingsprobleem kunnen zijn). Zelfde als de "onveiligheid" van variablen wat van de browser vandaan komt en daarmee ook mogelijke problemen wanneer je dit in executable code toevoegd (zoals een system(), eval(), query, etc). Je kan hiermee wel even doorgaan, maar meer dan een a4-tje krijg je denk ik niet vol. Dus kleine moeite om op zulke zaken te letten...

Zelfs als je je aan dat soort regels houdt, zul je vast nog wel eens code produceren met een lek erin; maar dit zit dan zo diep opgeborgen zit dat je minstens toegang tot de code moet hebben om er misbruik van te maken (of *heel veel* toeval). Maar eenvoudig te signaleren beveiligingsgaten mag je er toch zeker niet in hebben.

Klopt, die firewall checkt je IP voordat je mag connecten.
Valt me weer van ze mee

Tenzij ze via telnet/ssh dezelfde username en wachtwoord gebruiken...