Вы все еще используете CMS? Тогда мы идем к вам )

Discussion in 'Новогодний Видео-Конкурс [2013]' started by Take_IT, 31 Dec 2013.

  1. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Хотели нестандарт?) Жаль, что поздно уведомили об изменении сроков проведения конкурса... я пытался уложиться до НГ и поэтому делал наскоряк) сильно не пинайте)

    Не буду тут расписывать сценарий, посмотрите сами)

    Могу сказать одно: если бы я был плохим, могло бы пострадать большое количество сайтов, и все из за беспечности разработчиков. Если опираться на слова последних, то пострадали бы около 90к сайтов (именно столько по их словам они выдали лицензий), а если не верить им (и заглянуть одним глазком в бд оф сайта :D ) то можно с уверенностью сказать, что самохек исполнили бы около 3000 админов различных ресурсов преимущественно России и Украины)

    НО Я ХОРОШИЙ !!1 =)


    Youtube | Sendspace

    Всех с Наступающим Новым Годом !!1​
     
    #1 Take_IT, 31 Dec 2013
    Last edited: 4 Mar 2014
    11 people like this.
  2. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    покажи хоть 1 пострадавший ресурс??

    я подменил патч, провел апдейт нужного сайта и снова выложил патч без бекдора, читай внимательнее комменты в видео)

    это заняло 5 минут от силы, с учетом того, что этому патчу уже больше 2-3 недель я думаю что никто вот в эти 5 минут не успел обновиться)

    в общем еще раз скажу: внимательней читаем комменты) никаких деструктивных действий в отношении сайтов проведено не было :)
     
    #2 Take_IT, 31 Dec 2013
    Last edited: 10 Mar 2014
  3. Dexec

    Dexec New Member

    Joined:
    10 Feb 2013
    Messages:
    14
    Likes Received:
    0
    Reputations:
    0
    Там обновление по клику , не думаю что за эти пару минут все обновились)) тс наверно вернул все на исходное место

    ps шелл так же заливается но там уже вынесли отдельно демо
     
    #3 Dexec, 31 Dec 2013
    Last edited: 31 Dec 2013
  4. qaz

    qaz Elder - Старейшина

    Joined:
    12 Jul 2010
    Messages:
    1,654
    Likes Received:
    173
    Reputations:
    75
    разработчики движка точно дыбилы, привязка ip к кукам(сессии) уже давно как норма безопасности, видать до них прогресс не дошол

    чёза трек играет?
     
  5. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Это Баста, вот оригинальный клип:
    http://www.youtube.com/watch?v=_9v6u1_do_0
     
  6. Dexec

    Dexec New Member

    Joined:
    10 Feb 2013
    Messages:
    14
    Likes Received:
    0
    Reputations:
    0
    если бы все всегда соблюдали нормы безопасноти:D то большей части нас любимых делыть бы нечего было )))
     
  7. UXOR

    UXOR Member

    Joined:
    16 Aug 2013
    Messages:
    44
    Likes Received:
    7
    Reputations:
    6
    Молодец!
    1. Интересный момент со сниффером в шелле.
    2. Если грузишь что-то, крепи к теме или исходник показывай в видео.
    С новым годом =)
     
  8. попугай

    попугай Elder - Старейшина

    Joined:
    15 Jan 2008
    Messages:
    1,711
    Likes Received:
    405
    Reputations:
    196
    Забавно, на целевом сайте редактор шаблонов отключен, а на демонстрационном сайте разработчиков, в админку которого любой желающий может зайти, включен.
     
  9. winstrool

    winstrool ~~*MasterBlind*~~

    Joined:
    6 Mar 2007
    Messages:
    1,463
    Likes Received:
    778
    Reputations:
    834
    Понравился сам подход к делу, из-за маленького недочета пострадала вся система), попасть в админку, это одно дело, а продвинуться дальше, это совсем другое. ТС уверен там полюбому есть, что то еще, через что залиться можно ;)
     
    _________________________
  10. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Крутить скули, красть куки и выполнять код умеют все(у кого есть руки)... Я подошел к конкурсу немного с творческой стороны :D Мне хотелось что бы в видяшке было хоть что-то оригинальное)
    Я смотрел архивы с прошлогодних конкурсов и пришел к выводу, что такого еще никто не показывал :) жаль только зря торопился, как оказалось позже конкурс продлили на пару неделек)

    Ну, брешей в безопасности там и правда хватает..) Если бы было больше времени, снял бы немного по другому.... точнее концовка была бы намного эффектней) но, увы, мы имеем то, что имеем...
    Учитывая особенности движка и системы обновления можно было устроить настоящий масхек. Жертвами стали бы все сайты на которых стоит версия 4.5.* и выше. На этом движке около 3к шопов(они покупали лицензии, поэтому есть в базе), а вот сколько еще корпоративных сайтов остается только гадать... опять же берем во внимание тот факт, что версия Corporate распространяется бесплатно, а стало быть эта цифра больше чем в случае с шопами


    А так да, ничего сверхъестественного и принципиально нового я на видео не продемонстрировал) Это больше художественное видео, нежели обучающее :D
     
    1 person likes this.
  11. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Да там особо и нечего было прикреплять к теме(я про исходники). Везде использовались простейшие реализации, ими никого не удивишь и сомневаюсь что они будут кому то интересны или полезны. )
     
  12. BeLove

    BeLove Member

    Joined:
    28 May 2012
    Messages:
    11
    Likes Received:
    10
    Reputations:
    18
    Видео на грани морали, но если из него исключить live - протроянивания - пропадет нужный эффект )
    Зато явно показывает некоторые по сей день актуальные проблемы, и чаще всего - банально логические (ну кто ж додумался хранить хэш суммы на этом же сервере? Хоть бы юзера (chown) или права (chmod) подправили).
    Учит думать мозгами и больше хакерское, чем ресерческое, имхо среди всех - с самым высоким импактом, за что отдельный плюс :) Вот бы крутую технику бы еще при получении RCE... Этого нет :(
     
  13. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Верно подмечено! Целью работы было подчеркнуть актуальные ошибки в современной информационной безопасности компаний и организаций предлагающих продукты для "строительства" информационных систем, в данном случае - веб.
    К сожалению, не было времени снимать кино со спецэффектами, торопился к 31.12. А уже после того как создал тему узнал что сроки продлили. Переснимать заново уже не было смысла, так как сама идея уже была раскрыта.
    Пожалуйста, перестаньте творить "черное")) форматните пост, плиз :) не надо это тут публиковать. перебор, имхо)

    Тот кто смотрел сорцы знает, что там есть патологические баги определяемые архитектурой кода (как их не латай, все равно не залатаешь). Надеюсь, в ближайшее время выложу няшки, если смогу "собрать волю в кулак", сесть и упорядочить все свои наработки по этому направлению.. Такое явление просматривается и в ряде других, более популярных CMS... А возможность выдернуть конфиги из демок вообще встречается сплошь и рядом...

    [Outro]Так вот, о чем я... o неком потаенном смысле(мораль). И она примерно такова: на сегодняшний день, определяющим фактором ИБ является не только качество кода и уровень навыков программиста, но и организация рабочего процесса, отношение к работе и безопасности в целом... На конкретном примере можно установить множество серьезных ошибок и недочетов со стороны разработчиков - демка с не порезанным функционалом и правами + демка, офф сайт и система обновлений на одном сервере + хэш суммы + юзер и права на сервере, этот список можно продолжать до утра - но, какое это имеет значение теперь, когда чисто теоретически, все клиенты уже пострадали?)

    P.S: В любом случае, спасибо разработчикам, за пищу для размышлений)) удачи им и процветания, будем надеяться, что с опытом они перестанут допускать такие ошибки.[/Outro]
     
    #13 Take_IT, 8 Mar 2014
    Last edited: 8 Mar 2014
  14. Sum.cogitans

    Sum.cogitans Elder - Старейшина

    Joined:
    7 Sep 2013
    Messages:
    178
    Likes Received:
    32
    Reputations:
    19
    Take_IT
    Такое ощущение, что ты к ним имеешь какое-то отношение. Извини уж, но не вижу другой причины респектовать и защищать людей с кривыми руками.
     
    #14 Sum.cogitans, 8 Mar 2014
    Last edited: 8 Mar 2014
  15. Take_IT

    Take_IT Banned

    Joined:
    11 Mar 2013
    Messages:
    397
    Likes Received:
    163
    Reputations:
    267
    Твое ощущение тебя подводит :D

    Просто я, имею мнение: любой труд достоин уважения, а учитывая тот факт, что у них отчасти опенсорц проект это вообще можно сравнить с благотворительностью))) любой человек который делает что-то для других достоин как минимум благодарности и чуточку уважения, нет?) А что ты сделал полезного за свою жизнь?) похвастайся своими релизами)))

    да и в конце концов на ком бы мы тренировались, если бы таких "грамотных" кодеров не было бы?!(
     
  16. Sum.cogitans

    Sum.cogitans Elder - Старейшина

    Joined:
    7 Sep 2013
    Messages:
    178
    Likes Received:
    32
    Reputations:
    19
    То что я делаю, стоить дорого, тем паче сделанное за 12 лет, стоит тех денег. С такой позиции, полагаю, я имею полное моральное право считать, что не надо быть благодарным тем людям, которые что-то сделали плохо. В данном случае - это именно плохо и плевать под какой эгидой продукт распространяется.
    "Хотели как лучше, получилось как всегда"

    P.s. На ком, на ком тренироваться. Я это делаю на своих проектах, помимо этого есть куча площадок для таких задач.

    P.p.s. Ладно, думаю стоит закрыть этот вопрос. Я высказал свое мнение, ты свое - остальное вода.
     
    #16 Sum.cogitans, 8 Mar 2014
    Last edited: 20 Mar 2014