Хотели нестандарт?) Жаль, что поздно уведомили об изменении сроков проведения конкурса... я пытался уложиться до НГ и поэтому делал наскоряк) сильно не пинайте) Не буду тут расписывать сценарий, посмотрите сами) Могу сказать одно: если бы я был плохим, могло бы пострадать большое количество сайтов, и все из за беспечности разработчиков. Если опираться на слова последних, то пострадали бы около 90к сайтов (именно столько по их словам они выдали лицензий), а если не верить им (и заглянуть одним глазком в бд оф сайта ) то можно с уверенностью сказать, что самохек исполнили бы около 3000 админов различных ресурсов преимущественно России и Украины) НО Я ХОРОШИЙ !!1 =) Youtube | Sendspace Всех с Наступающим Новым Годом !!1
покажи хоть 1 пострадавший ресурс?? я подменил патч, провел апдейт нужного сайта и снова выложил патч без бекдора, читай внимательнее комменты в видео) это заняло 5 минут от силы, с учетом того, что этому патчу уже больше 2-3 недель я думаю что никто вот в эти 5 минут не успел обновиться) в общем еще раз скажу: внимательней читаем комменты) никаких деструктивных действий в отношении сайтов проведено не было
Там обновление по клику , не думаю что за эти пару минут все обновились)) тс наверно вернул все на исходное место ps шелл так же заливается но там уже вынесли отдельно демо
разработчики движка точно дыбилы, привязка ip к кукам(сессии) уже давно как норма безопасности, видать до них прогресс не дошол чёза трек играет?
если бы все всегда соблюдали нормы безопасноти то большей части нас любимых делыть бы нечего было )))
Молодец! 1. Интересный момент со сниффером в шелле. 2. Если грузишь что-то, крепи к теме или исходник показывай в видео. С новым годом =)
Забавно, на целевом сайте редактор шаблонов отключен, а на демонстрационном сайте разработчиков, в админку которого любой желающий может зайти, включен.
Понравился сам подход к делу, из-за маленького недочета пострадала вся система), попасть в админку, это одно дело, а продвинуться дальше, это совсем другое. ТС уверен там полюбому есть, что то еще, через что залиться можно
Крутить скули, красть куки и выполнять код умеют все(у кого есть руки)... Я подошел к конкурсу немного с творческой стороны Мне хотелось что бы в видяшке было хоть что-то оригинальное) Я смотрел архивы с прошлогодних конкурсов и пришел к выводу, что такого еще никто не показывал жаль только зря торопился, как оказалось позже конкурс продлили на пару неделек) Ну, брешей в безопасности там и правда хватает..) Если бы было больше времени, снял бы немного по другому.... точнее концовка была бы намного эффектней) но, увы, мы имеем то, что имеем... Учитывая особенности движка и системы обновления можно было устроить настоящий масхек. Жертвами стали бы все сайты на которых стоит версия 4.5.* и выше. На этом движке около 3к шопов(они покупали лицензии, поэтому есть в базе), а вот сколько еще корпоративных сайтов остается только гадать... опять же берем во внимание тот факт, что версия Corporate распространяется бесплатно, а стало быть эта цифра больше чем в случае с шопами А так да, ничего сверхъестественного и принципиально нового я на видео не продемонстрировал) Это больше художественное видео, нежели обучающее
Да там особо и нечего было прикреплять к теме(я про исходники). Везде использовались простейшие реализации, ими никого не удивишь и сомневаюсь что они будут кому то интересны или полезны. )
Видео на грани морали, но если из него исключить live - протроянивания - пропадет нужный эффект ) Зато явно показывает некоторые по сей день актуальные проблемы, и чаще всего - банально логические (ну кто ж додумался хранить хэш суммы на этом же сервере? Хоть бы юзера (chown) или права (chmod) подправили). Учит думать мозгами и больше хакерское, чем ресерческое, имхо среди всех - с самым высоким импактом, за что отдельный плюс Вот бы крутую технику бы еще при получении RCE... Этого нет
Верно подмечено! Целью работы было подчеркнуть актуальные ошибки в современной информационной безопасности компаний и организаций предлагающих продукты для "строительства" информационных систем, в данном случае - веб. К сожалению, не было времени снимать кино со спецэффектами, торопился к 31.12. А уже после того как создал тему узнал что сроки продлили. Переснимать заново уже не было смысла, так как сама идея уже была раскрыта. Пожалуйста, перестаньте творить "черное")) форматните пост, плиз не надо это тут публиковать. перебор, имхо) Тот кто смотрел сорцы знает, что там есть патологические баги определяемые архитектурой кода (как их не латай, все равно не залатаешь). Надеюсь, в ближайшее время выложу няшки, если смогу "собрать волю в кулак", сесть и упорядочить все свои наработки по этому направлению.. Такое явление просматривается и в ряде других, более популярных CMS... А возможность выдернуть конфиги из демок вообще встречается сплошь и рядом... [Outro]Так вот, о чем я... o неком потаенном смысле(мораль). И она примерно такова: на сегодняшний день, определяющим фактором ИБ является не только качество кода и уровень навыков программиста, но и организация рабочего процесса, отношение к работе и безопасности в целом... На конкретном примере можно установить множество серьезных ошибок и недочетов со стороны разработчиков - демка с не порезанным функционалом и правами + демка, офф сайт и система обновлений на одном сервере + хэш суммы + юзер и права на сервере, этот список можно продолжать до утра - но, какое это имеет значение теперь, когда чисто теоретически, все клиенты уже пострадали?) P.S: В любом случае, спасибо разработчикам, за пищу для размышлений)) удачи им и процветания, будем надеяться, что с опытом они перестанут допускать такие ошибки.[/Outro]
Take_IT Такое ощущение, что ты к ним имеешь какое-то отношение. Извини уж, но не вижу другой причины респектовать и защищать людей с кривыми руками.
Твое ощущение тебя подводит Просто я, имею мнение: любой труд достоин уважения, а учитывая тот факт, что у них отчасти опенсорц проект это вообще можно сравнить с благотворительностью))) любой человек который делает что-то для других достоин как минимум благодарности и чуточку уважения, нет?) А что ты сделал полезного за свою жизнь?) похвастайся своими релизами))) да и в конце концов на ком бы мы тренировались, если бы таких "грамотных" кодеров не было бы?!(
То что я делаю, стоить дорого, тем паче сделанное за 12 лет, стоит тех денег. С такой позиции, полагаю, я имею полное моральное право считать, что не надо быть благодарным тем людям, которые что-то сделали плохо. В данном случае - это именно плохо и плевать под какой эгидой продукт распространяется. "Хотели как лучше, получилось как всегда" P.s. На ком, на ком тренироваться. Я это делаю на своих проектах, помимо этого есть куча площадок для таких задач. P.p.s. Ладно, думаю стоит закрыть этот вопрос. Я высказал свое мнение, ты свое - остальное вода.
