Бигмир поимели?
Рубрики: Интернет Добавить комментарий
Прислали сегодня по асе вот такое:
http://forum.asechka.ru/showthread.php?p=303554
Не то чтобы я верил любым уткам, которые пролазят в инете, но там написаны вещи, часть из которых можно проверить. Например, что Бигмир действительно юзает оперсорсные решения для блогов и форумов. Не обращал внимание на это раньше, но это не просто непристижно для компании, претендующей на лидерство в украинском инете, это позор.
Кстати, может ли кто-то из Бигмира подтвердить, реальные ли скрины приводит автор (в смысле так ли на самом деле выглядят бигмировские админки?) . Понятно, что насчет аси - басни, но что-то из этого вообще имело место?
18.09.2007 в 18:54
А тред-то удалили :)
18.09.2007 в 18:59
http://209.85.129.104/search?q=cache:0B6GmcumiicJ:forum.asechka.ru/showthread.php%3Fp%3D303554+Bigmir.Net%3F+%D0%98+%D0%BD%D0%B5+%D0%B1%D1%83%D0%B4%D0%B5%D1%82!&hl=ru&ct=clnk&cd=5&client=opera
Самое херовое, что в нем все правда.
18.09.2007 в 21:25
Чесно говоря - я так и думал, что это правда. И уверен, что Бигмир - не последний проект портального типа, что может быть взломан таким образом или подобным..
19.09.2007 в 03:08
Andrew, нет. Спросил у знакомого, работающего в том самом бигмире. Говорит что дейстивтельно был взлом, но типа ничего глобального. И ворования асек уж точно не было.
19.09.2007 в 04:11
kost BebiX, почему-то мои источники говорят, что ворование асек таки было ;)
19.09.2007 в 04:14
Воровства и небыло. Все что украли сразу ангегнули. Думаю что с бигмира тебе никто ничего и не скажет, если они официально отрицают. Но я получил подтверждение от совершенно неожиданного человека по поводу правдивости скринов.. Имя конечно его не выдам, но то что поимели то точно. И именно так, как написано.
19.09.2007 в 19:58
Мдам, ну, а куда без хакинга таких серьезных проектов. Всетаки на нем есть много вкусностей. Почитал этот самый топик на асечке - народ тупой до ужаса. Уже нельзя свое мнение сказать. Это я про посты(Andrew2002). З.Ы. Жалко асек! =(
19.09.2007 в 20:29
Аси вернули, насколько я понял, а то что народ тупой, то я знаю, я умею уже игнорить имбецилов разных, я общался в принципе только с тем, кто статью запостил.
20.09.2007 в 01:40
их хакнули, о чем написали статейку, помещенную в журнал Хацкер за август месяц…
только назвать хаком это трудно… так, очередной скрипт-кидис нашел дырку в вордпрессе древнем и понеслось………
20.09.2007 в 01:43
Cудя по статье скрипт-киддинга небыло, автор сам нашел дырку в вордпрессе. Так что это хак. И, судя по последствиям, хак ничешный, пареньку повезло что он не с Украины=)
20.09.2007 в 01:55
ну да, как трудно найти дыру в дырявом движке имея сорцу на руках :)
натуральный скрипт-кидинг, ему на форуме правильно пишут про phpbb…. и вообще-то форум действительно имбицильный….
20.09.2007 в 01:57
Рекомендую почитать в Википедии или где-то еще, что такое скрипт-киддинг.
И самому попробовать найти дырку в каком-то публичном скрипте, которую еще не нашли. Чтобы оценить трудно это или нет..
20.09.2007 в 02:18
поверь, находил и не раз… и сам даже занимался подобной фигней. поэтому для меня это всегда будет “скрипт-кидинг” и не более того, чтобы там не накалякали в википедии
20.09.2007 в 02:23
так просто, для посетителей сайта
http://www.hackzona.ru/hz.php?name=News&file=article&sid=837
никого не узнаёшь?
Скрипт киддисы - искатели легкой добычи, на помощь которым приходят поисковики и багтрэки. Скрипт кидди ломают все что попадется, у них нет целей. Это можно сравниить с ловлей рыбы сетями. Вы заранее не знаете что что вы споймаете и сколько 8)
Тактика скрипт киддисов заключается в следующем
- Идем на багтрак (securityfocus.com, security.nnov.ru, etc…)
- Ищем наиболее свежие дыры в скриптах
- Внимательно читаем о пользовании дыры и выписываем информацию о дырявой софтине/скрипте
- Идем на поисковик, ищем по названию скрипта или имени файла, в котором прячется бага и раскапываем грудды ссылок, которые найдет поисковки. Как ни странно таким способом производится наибольшая часть аттак на сервера. Очень малое колличество админов листают багтреки и своевременно патчят дырявые скрипты на своих серверах.
Bсе дыры, найденные таким способом позволяют внедрять свой код в дырявый скрипт путем передачи специальным образом сформированного запроса. если дыра в скрипте, написаном на ПХП - такую багу называют PHP source injection, если вставка производится в кривой sql-запрос - SQL source injection
20.09.2007 в 02:24
Я пожалуй все-же скажу что такое скрипт-киддинг для того чтобы, может быть, проще было говорить дальше..
Скритп-киддинг - это использование чужих программ-эксплоитов для взлома или дефейса. Кто-то нашел дырку и написал эксплоит. Такого человека можно назвать хакером. А кто-то другой, просто взял готовый эксплоит и положил какой-то сайт или, например, виндовую машину. Вот это скрипт-киддер.
Как видишь, чужие эксплоиты тут не пригодились и пришлось писать свой, потому это хак, а не скрипт-киддинг.
Про находил: можно информацию о названии и версии скрипта и описание баги, которую ты сам нашел. Достаточно будет одного примера. У меня подозрение, что это “поверь, находил и не раз…”, не совсем соотвествет действительности. Думаю что стоит развеять все сомнения;)
20.09.2007 в 02:26
Комент #14 я уже прочитал после того как ответил на 13й, но ничего не имею против, тому что я сказал он не противоречит..
20.09.2007 в 03:02
видимо моё понятие скрипт-кидинг несколько шире,чем твоё. шаги этого кул-хацкера совпадают с приведенным мною?
я не особо хочу утруждаться развеяниями сомнений, мне оно особо не нужно.
куда больше я радуюсь таким штучкам http://jquery.khurshid.com/ifixpng.php (смотрим Credits)
ладно, вот пример:
http://bla-bla/album.php
помню что залил phpbb, через sql-injection, в каком скрипте уже не вспомню, хоть убейте… сделал select into outfile и понеслась.
было это года три назад….
20.09.2007 в 03:06
кстати, а зачем вы на сайте расширение aspx ставите?
http://fileshare.in.ua/service.aspx?=PHPE9568F35-D428-11d2-A769-00AA001ACF42
20.09.2007 в 03:26
Андрей, ты правильно пожалуй подобрал слово. Именно “имбицилов”. Ну, главное самому понимать о чем идет речь - на все остальное можно наплевать. Хотя я сам лично человек по натуре такой, что молчать бы после услышанного в такой наглой форме - просто не смог. Вот вы сейчас тут понаписываете кучу разной инфы, кто-то прочтет, увлечется и дел натворит =) З.Ы. Кстати смайлику вчера исполнилось 25 лет) Сорри за оффтоп!
20.09.2007 в 03:35
2 maserg - сам по себе инджекшн это фигня. Очень много людей способно тыкнуть кавычку в урл, где передается какой-то параметр и, увидев текст запроса, че-то стырить. Ну или попытаться скрипт вместо картинки залить.
Это похоже на брутфорс чем-то=) Но это может не прокатить. Поиск дырки по исходникам, особенно большим - задача другого уровня сложности. Особенно когда исходники большие и проверки параметров могут находиться в самых неожиданных местах.
В прочем пофиг. В любом случае, чел, который в данном случае взламал бигмир, не скрипт-киддер. Немного ламер, потому что в логах наследил, но остальное он поламал честно. Так обычно ПО и ломается - ищется махонькая дырочка, которая остальным покажется примитивной, но вот только эти остальные ее просто не заметят.
А aspx - это прикол. Некоторых недоброжелателей сбивает с толку;)
20.09.2007 в 03:56
а что-то не понимаю, кулхацкер сам же пишет что нашел дыру в запросе
$result = $wpdb->query(”UPDATE $wpdb->users SET user_login = ‘$new_user_login’, user_firstname = ‘$new_firstname’, $updatepassword user_lastname=’$new_lastname’, user_nickname=’$new_nickname’, user_icq=’$new_icq’, user_email=’$new_email’, user_url=’$new_url’, user_aim=’$new_aim’, user_msn=’$new_msn’, user_yim=’$new_yim’, user_idmode=’$new_idmode’, user_description = ‘$new_description’, user_nicename = ‘$new_nicename’ WHERE ID = $user_id”);
вот он $user_id - не слешованный.
теперь ты пишешь что инджекшн - это фигня.
у вордпресса не такая уж и большая сорца, фигли там искать? :)
если бы не эта дырка - сосал бы он лапу на свои смешные http://www.bigmir.net/?u=../../../…../etc/passwd%00 , которые ему xspider нашел (это ж надо было додуматься, натравлять на сайт xspider перед взломом).
что он сделал? получив шел, взял из сорцы пассворд к мусклу и начал регить номера icq? ги, ну не ламер?
вообщем ладно, фиг с ним.
20.09.2007 в 04:02
Ну так найти место, где параметр не проверяется это не такая тривиальная задача, как попробовать в урле цифру на кавычку поменять.
Я не говорю что автор взлома - гений. Но как минимум внимательность у него есть, и понимание сути того, почему инджекшены работают (скрипт-киддеры часто не понимают, просто делая то, о чем прочитали где-то там).
В прочем действительно, фиг с ним. Ламер, не ламер, а задницу бигмиру надрал неплохо=) Думаю что при соотвествующей огласке, бигмир потеряет немало бабла (из-за того что с ними разорвет партнерство АОЛ), даже если нет, все равно учерб репутации нанесен немалый.