Турки мстят за помидоры: взломан сайт Новосибирского Государственного Аграрного Университета
Не нравится нам в трудных условиях в более простой способ, "состояние" при поддержке организовать атаки.
Ваш ум, как делать угрозы, вы говорите, что вы закончили в виртуальном мире.
Но вы забываете одну вещь;
Мы "Турция" s являются неразделенная любовь наша родина, наш славный флаг,
Мы "Турция" S независимо от какой-либо интерес, что мы делаем нашу часть,
Мы "Турция" S убеждения, действовать в вере,
Мы делаем то, что мы всегда показываем, какие гарантии ..
В течение многих лет, "чеченская" Пока не справляются с законной борьбой наших братьев,
Не так ли минометный "Тюрк" ХУКМ вырезать,
У нас есть также намного больше авторов, даже значительно ниже увеличение достаточно,
Слушайте нашу родину нашего тунца ноль Спросите тюльпан гиацинт слушать маленькую розу, а не нам три континента муж знает этот мир, и вы нас слушать не дают нам семь раз .
Мы Dev-я Mefsedet'iz Османская наша суть, наша исламская сила! !"
По состоянию на 23:53 работа сайта восстановлена.
Еще пусть наш Кокинский Аграрный (Брянск) взломают, и все - Путин на коленях к ним приползет помидоров просить .
ну взломали, и чё? они этим убытки турецкому тур.бизнесу возместили. я не понимаю.
Предлагаю всем боятся. они умеют взламывать сайты аграрных универов. ПАНИКА.
Особенно доставляет баннер на турецком. Открывает такой посетитель сайта, видит каракули и все сразу осознает, ага.
"не дают нам семь раз. " - это печально. :(
О, Промт, привет :-D
Как по-турецки будет "Шляхом Перемог"? Хохол и турок - братья навек)
Когда тебя спрашивают, что делают хакеры, можно ответить: в принципе, что угодно. Даже стены взламывают
Rutube всё?
Rutube недоступен после кибератаки. Наш источник в видеохостинге утверждает, что сайт «не подлежит восстановлению» - the village
Утром 9 мая хакеры атаковали российский видеохостинг Rutube, который позиционирует себя как замену Youtube и куда после начала «спецоперации» переехали многие российские прогосударственные телеканалы. Информация об этом появилась в телеграме компании в 7 утра. Также сообщалось, что оперативная группа реагирования работает над восстановлением доступа к сервису.
В течение всего дня в канале компании появлялись сообщения о том, что на сайте ведутся восстановительные работы, в 20:04 компания заявила, что кибератака стала крупнейшей в истории сервиса. По мнению представителей сервиса, она была дорогостоящей, заранее спланированной и была нужна, чтобы «помешать Rutube показать парад победы и праздничный салют». Тем не менее, сайт до сих пор недоступен.
По словам источника The Village близкого к команде Rutube, атака началась около пяти утра, в результате действий хакеров был «полностью удален код сайта», и теперь видеосервис «не подлежит восстановлению». Обычно на такой случай предусмотрены бэкапы, но в конкретной ситуации проблема, видимо, в том, что в сервисе до сих пор не понимают, имеет ли по-прежнему хакер доступ к системе или уже нет. Видео-контент в результате атаки не пострадал. По мнению источника, такая кибератака стала возможна из-за утечки кодов доступа к сайту.
UPD Комментарий Rutube в своем телеграм-канале
Взломали Госуслуги
Ситуация произошла ещё в середине февраля. Сидел вечером за компьютером, и вдруг пришло письмо о том, что сформирована запрошенная справка о перечне бюро, в которых хранится моя кредитная история. Я удивился, т.к. никаких заявок не оставлял. Сразу же появились плохие предчувствия. Заглянул в одно бюро из тех, которые фигурировали в справке. Увидел там неутешительную информацию: кредитный рейтинг 712 (ранее был 800+) и странный показатель: "Наличие отказов: 58%".
Скачал отчёт по кредитной истории, и увидел там две попытки взять микрокредит на 10'000₽ в МФО в сентябре и в ноябре 2021 года с отказом в выдаче, а также запрос кредитной истории от МТС-Банка, с которым я никогда никаких дел не вёл. Стало очевидно, что меня взломали на Госуслугах.
Пошёл в Госуслуги, и на страничке Профиль -> Безопасность -> Действия в системе увидел, что у меня здесь проходной двор! Есть входы с IP из Кировской области, из Уфы, и откуда только нет. На вкладке "Моб. приложения" увидел, что я залогинен помимо своего устройства ещё и с некоего iPhone SE, и еще пары устройств. И всё берёт своё начало в сентябре 2021.
Окей, я нажал кнопку "Выйти" напротив всех устройств, сменил пароль, поставил двухфакторную аутентификацию, а также уведомление письмом на почту о каждом входе в систему. Не совсем понимаю, зачем мошенникам потребовалось запрашивать справку о перечне мест, где хранится моя кредитная история, и что они с этой кредитной историей хотели делать. Но на этом они спалились.
Начав искать истоки, как мой личный кабинет на Госуслугах мог быть взломан, я вспомнил один случай. Примерно в то же время Google Chrome сообщал мне, что мои пары логин-пароль на нескольких сайтах были скомпрометированы. Это были всякие магазины сантехники и какие-то непонятные техпорты. Я тогда не обратил на это никакого внимания, ведь мне не было особо важно, что там и как, а карту свою я нигде не привязываю, предпочитая вбивать данные при каждой покупке заново. И тут я всё понял: на некоторых сайтах пара логин-пароль была такая же, как на Госуслугах!
Да, я - тот самый идиот, который на Госуслуги поставил самый простой пароль, который применял ещё на десятке сайтов, и двухфакторную аутентификацию не настраивал.
Я думал, что до моих данных никому нет дела. В итоге чуть не оказался счастливым обладателем микрокредитов. Отделался лёгким испугом.
Не будьте такими как я. Ставьте двухфакторку на ГУ. Периодически заглядывайте в кредитную историю, даже если не берёте кредитов.
История личная, тег моё. Взято из моего скромного блога о личных финансах
Крупнейший в 2022 году криптовзлом на $615 млн
Криптовалютные проекты продолжают подвергаться хакерским атакам, часть из них успешно завершаются. На этот раз пострадала компания Sky Mavis, чья игра Axie Infinity оказалась самой популярной в 2021 году в NFT-пространстве, а оборот токенов превысил $4 млрд.
Источник изображения: dappradar.com
Для своих проектов Sky Mavis использует собственный блокчейн Ronin, который является сайдчейном Ethereum. Это сделано для ускорения платежей и уменьшения комиссии. Обратной стороной медали оказалась безопасность: за подтверждение транзакций отвечали пять узлов валидаторов из девяти. Хакеру удалось взломать закрытые ключи четырех из них, а также получить доступ к подписи стороннего валидатора Axie DAO.
В результате взлома злоумышленник похитил 173 600 Ethereum и 25,5 млн USDC, что по текущим ценам составляет около $615 млн. Кража произошла еще 23 марта, однако о ней стало известно лишь вчера, когда один из пользователей не смог провести транзакцию на 5 тыс. ETH через мост Ronin.
Для предотвращения дальнейшей утечки средств Sky Mavis приостановила работу моста Ronin, а порог необходимых валидаторов для подписания транзакций был увеличен до восьми. Из-за невозможности дальнейшего арбитража отключению также подверглась децентрализованная площадка Katana. Компания заверяет пользователей, что прилагает все усилия для возвращения украденных средств и взаимодействует с правоохранительными органами для вычисления преступника. Примечателен и тот факт, что после кражи основной объем средств все это время остается без движения.
Источник изображения: etherscan.io
Не исключено, что за взломом стоит «белый хакер» (white hat). Такой хакер после взлома дожидается нахождения компанией уязвимости, после чего возвращает украденные средства (иногда оставляя себе «чаевые»). Это позволяет избежать уголовного преследования, продемонстрировать слабые места в защите и при этом заявить о себе. Например, в прошлом году неизвестный взломал Poly Network и вывел около $600 млн в различных криптовалютах. Позже он вернул все незаблокированные средства, встраивая в транзакции сообщения для компании.
Источник изображения: криптовалютная биржа StormGain
Как бы ни закончилась эта история, дыра в безопасности – это удар по имиджу. За сутки монета Ronin упала на 20%, а токен AXS – на 8%. Ранее команда Sky Mavis выражала надежду, что ее сайдчейн будут использовать сторонние игровые платформы. Теперь это маловероятно.
Аналитическая группа StormGain
(платформа для торговли, обмена и хранения криптовалюты)
Anonymous взломали Nestle
«Анонимус» взломал и опубликовал 10 ГБ базы данных швейцарского гиганта продуктов питания и напитков Nestlé. В своем твиттер-аккаунте Anonymous во вторник опубликовали базу данных Nestlé. Anonymous призвали к полному бойкоту продукции Nestle после того, как швейцарский продовольственный конгломерат продолжал поставлять товары первой необходимости в Россию, несмотря на растущее давление со стороны конкурентов с целью разорвать связи.
Утечка 19 миллионов аккаунтов у СДЭКа в марте 2022
Кто отправлял или получал что-то через СДЭК - готовьтесь к новой волне спама и мошенников, знающих ваши персональные данные по причине того, что CDEK их не сберег..
Как видите по скриншоту письма от сервиса https://haveibeenpwned.com , 30 гигов данных ушло к хакерам 9 марта 2022.
Интересно, когда будет законодательная ответственность за пофигизм в сфере информационной безопасности?)
Взлом "Ситибанка"
Автор: Forbidden World.
1994 год. Гениальный русский хакер Владимир Левин взломал сеть Нью-Йоркского “Ситибанка”. Перевел около 12 миллионов долларов на различные зарубежные счета и попытался их обналичить через “мулов” (обналичивая через физ. лиц). Тогда это было в новинку – резонанс от “электронного грабежа банка” был феноменален. Развязка очень удачная для СМИ: всего 250 тысяч долларов не удалось вернуть, ведь их успели обналичить, а хакер был оперативно вычислен. МВД России охотно помогло выявить, что вход происходил из сети фирмы “Сатурн СПб”, а дальше дело техники.
Гениальный хакер скрывался под маской “эникейщика” (младшего системного администратора)! Все его знакомые говорили, что английским языком он слабо владел, ведь в школе учил французский, про его хакерские навыки никто не знал. Идеальная маскировка. По законам РФ ему не могли ему ничего сделать, ведь в УК РФ на тот момент не было статей за компьютерные преступления и формально он ничего не нарушил.
А по законам США они уже были, но вот экстрадиции в США не было. Тогда силовики пошли на провокации, допустили утечку некоторых материалов в СМИ, поговорили с потенциальным подельниками Владимира, он запаниковал и попытался скрыться в Лондоне, у знакомых семьи. Гениально, правда?
Оттуда, 3 марта 1995 года, его и экстрадировали в США, где он получил 36 месяцев тюрьмы. После чего ему не предложили сотрудничества с фирмами по безопасности в США и с силовыми ведомствами, так что пришлось возвращаться в РФ. Хотя хакеры очень ценились и ценятся в ФБР до сих пор. Позже он был забыт.
Чувствуете, что тут ничего не клеится? Не тянет этот персонаж на главного героя истории, хотя именно так ее в те годы рассказали СМИ. Опять журналисты не разобрались в хакерской истории. Тогда это было в новинку, сейчас – классика!
А дело было так: талантливая группа русскоязычных хакеров взломала Х.25-сеть “Ситибанка”. Один из организаторов этого взлома, некий “ArkanoiD”, написал об этом статью на культовом на тот момент IT-ресурсе "Независимый обзор провайдеров”.
Главной целью группы, взломавшей “Ситибанк”, было исследование сети ради практики и собственного любопытства. Вторичными целями – бесплатные звонки и подключения к серверам по всему миру. Но самой желанной целью было получения прямого роутинга в сеть Интернет! Взламывали же наши герои этот банк через подключение через сеть Фидо (FidoNet).
В поисках вожделенного роутинга в Интернет группа получила множество паролей администраторов, пересылаемых по электронной почте внутри банка, и нашла глючный сервер для удаленного подключения. Через этот сервер пользователи могли подключиться к удаленным машинам, для чего нужно было лишь знать логин и точку подключения. ArkanoiD описал, что сервер также позволял вывести список пользователей, что, в целом, было полезно. И самое главное – сервер не сбрасывал соединения, если пользователь сам их не разрывал.
Например, пользователь Citi_adm подключался к своей рабочей станции через сервер, и при повторном подключении под этим пользователем повторно заходить на рабочую станцию не требовалось. Вот такие “висящие сессии” пользователей. Так группа прошлась по всей сети, добралась до роутинга в Интернет через сеть какого-то банка-партнера в Чили, и была счастлива.
Группа осознанно не трогала счета: их не интересовали деньги, они не хотели проблем с законом и не собирались заниматься подобной деятельностью. Напоминаю, они даже законов РФ на тот момент не нарушали, а этика хакера тогда только появлялась.
Их особенно не волновали сработки IDS (средство обнаружения вторжений) системы банка, ведь максимум, что бы они потеряли – полигон для развлечений и исследований. К слову, за этой системой никто не следил, и ее отчеты “вас, кажется, ломают” сотрудники банка игнорировали.
А как же 12 миллионов? Причем тут Левин? Он – часть группы? Левин – дальний знакомый одного из участников группы, который уговорил продать ему доступ к сети "Ситибанка" за $100. С подробными инструкциями как по ней ходить, где сервер удаленного подключения и как можно через него развлекаться. Ему, судя по всему, эти инструкции записали на бумажке, он их повторил. Вот только решил он не развлекаться, а “поднять бабла”, подключился к одному из машин операторов банковских переводов и начал переводить деньги! Рассудительности и моральных принципов, как у группы, ему явно не хватило.
Группа же отследила эту деятельность “гениального хакера”, поняла, что дело пахнет керосином, оперативно замела свои следы и более в сети не появлялась. Левин же даже не скрывался и не заметал следы, а развитие его истории я описал в начале.
Позже, после истечения срока давности по этому преступлению, в США появились подробности от ArkanoiD, упоминания от других известных личностей в РФ/СНГ тусовке хакеров. Деталей и технических подробностей этой истории в различных источниках предостаточно.
Вот такие ранние “русские хакеры” 1994 года. Автор этих строк тогда еще недавно родился. Ну а сейчас, в 2022 году, у автора около 20 общих контактов на LinkedIn с тем самым ArkanoiD. Ох уж этот маленький рынок информационной безопасности, господа!=)
P.S. Хотите погрузиться в ту самую атмосферу? Посмотрите фильм “Хакеры" (1995) с 19-летней Анджелиной Джоли, он – классика!
Автор: Forbidden World.
Подпишись, чтобы не пропустить новые интересные посты!
Википедию взломали?
UPD. Это не та википедия, видимо зеркало: https://ru.wikipedia.su/
Бороздил просторы википедии, появилось это изображение, и далее перешёл по ссылке
Причем сами картинки (внутри сайта) подписаны на русском, наши хакеры?
Наш косяк
Вебсайт(С): -Создайте пароль.
С:- Создайте сложный пароль и Вас не взломают.
С:- Черт, реально сложный пароль.
Неделю спустя. С:- Вас взломали.
Я: - Но, у меня же был сложный пароль?!
С:- Да, но взломали весь сайт. Наш косяк.
Последствия дефолтных паролей на боевом сайте
Никогда не оставляйте дефолтные/распространенные пароли от админки на боевом сайт.
22 сайта для практики хакинга и защиты
Навыки в информационной безопасности сейчас пользуются большим спросом. Так как люди стремятся из всего сделать приложение и подключить к интернету даже самые примитивные устройства, спрос будет только расти. Поэтому неудивительно, что сегодня все хотят научиться хакингу.
Однако на множестве форумов можно встретить новичков, которые не знают, с чего начать изучение хакинга или где его попрактиковать. Специально для них мы представляем подборку сайтов, на которых можно приобрести и улучшить навыки хакинга.
Приведённые ниже площадки доступны только на английском языке.
1.CTF365- ctf365.com
Пользователи CTF365 устанавливают и защищают свои собственные серверы одновременно с атаками на серверы других пользователей. CTF365 подойдёт профессионалам в области безопасности, которые хотят приобрести наступательные навыки, или системным администраторам, заинтересованным в улучшении своих защитных навыков. Если вы новичок в инфосеке, вы можете зарегистрировать бесплатную учетную запись для начинающих и познакомиться с ним с помощью нескольких предварительно настроенных уязвимых серверов.
2.OVERTHEWIRE- overthewire.org/wargames
OverTheWire подойдёт всем желающим изучить теорию информационной безопасности и применить её на практике независимо от своего опыта. Новичкам следует начать с задач уровня Bandit, поскольку они необходимы для дальнейшего решения других задач.
3.HACKING-LAB- www.hacking-lab.com/index.html
Hacking-Lab предоставляют задачи CTF для European Cyber Security Challenge, но они также проводят на своей платформе регулярные соревнования, в которых может участвовать каждый. Просто зарегистрируйтесь, настройте vpn и выберите себе задачу по вкусу.
4.PWNABLE.KR- pwnable.kr
Данная площадка фокусируется на pwn-задачах, подобных CTF, суть которых заключается в поиске, чтении и отправке файлов-флагов, которые есть в каждой задаче. Для доступа к содержимому файлов вы должны использовать навыки программирования, реверс-инжиниринга или эксплуатации уязвимостей, прежде чем сможете отправить решение.
Задачи делятся на 4 уровня сложности: лёгкий — для новичков, средний, сложный и хардкор, где задачи требуют нестандартных подходов для решения.
5.IO- io.netgarage.org
IO — это варгейм от создателей netgarage.org, сообщества, в котором единомышленники делятся знаниями о безопасности, искусственном интеллекте, VR и многом другом. Было создано 3 версии варгейма: IO, IO64 и IOarm, из них всех IO является наиболее зрелой. Подключайтесь к IO через SSH и можете приниматься за работу.
6.SMASHTHESTACK- smashthestack.org
SmashTheStack состоит из 7 различных варгеймов: Amateria, Apfel (в настоящее время офлайн), Blackbox, Blowfish, CTF (в настоящее время офлайн), Logic и Tux. Каждый варгейм содержит множество задач, начиная от стандартных уязвимостей и заканчивая задачами на реверс-инжиниринг.
7.MICROCORRUPTION- microcorruption.com/login
Microcorruption представляет собой CTF, в котором вам нужно «зареверсить» вымышленные электронные блокирующие устройства Lockitall. Устройства Lockitall защищают облигации, размещённые на складах, принадлежащих вымышленной компании Cy Yombinator. На пути к краже облигаций вы познакомитесь с ассемблером, узнаете, как использовать отладчик, пошагово выполнять код, устанавливать точки останова и исследовать память.
8.REVERSING.KR- reversing.kr/index.php
Здесь вы можете найти 26 задач для проверки ваших навыков взлома и реверс-инжиниринга. Сайт не обновлялся с конца 2012 года, но имеющиеся задачи по-прежнему являются ценными учебными ресурсами.
9.HACK THIS SITE- www.hackthissite.org
Hack This Site — бесплатный сайт c варгеймами для проверки и улучшения ваших навыков хакинга. Нам нём можно найти множество хакерских задач в нескольких категориях, включая базовые задачи, реалистичные задачи, приложения, программирование, фрикинг, JavaScript, форензику, стеганографию и т.д. Также сайт может похвастаться активным сообществом с большим каталогом хакерских статей и форумом для обсуждения вопросов, связанных с безопасностью. Недавно было объявлено, что кодовая база сайта будет пересмотрена, поэтому в ближайшие месяцы можно ожидать большие улучшения.
10.W3CHALLS- w3challs.com
W3Challs — это обучающая платформа с множеством задач в различных категориях, включая хакинг, варгеймы, форензику, криптографию, стеганографию и программирование. Цель платформы — предоставить реалистичные задачи. В зависимости от сложности решённой задачи вы получаете баллы. Также есть форум, на котором можно обсуждать и решать задачи с другими участниками.
11.PWN0- pwn0.com
Площадка pwn0 — это VPN, в которой происходит почти всё, что угодно. Сражайтесь против ботов или пользователей и набирайте очки, получая контроль над другими системами.
12.EXPLOIT EXERCISES- exploit-exercises.com
Exploit Exercises предлагает множество виртуальных машин, документацию и задачи, которые пригодятся в изучении повышения привилегий, анализа уязвимостей, разработки эксплойтов, отладки, реверс-инжиниринга и т.д.
13.RINGZER0 TEAM ONLINE CTF- ringzer0team.com
RingZer0 Team Online CTF предлагает более 200 задач, которые позволят вам проверить навыки взлома по нескольким направлениям — от криптографии, анализа вредоносных программ до SQL-инъекции, шеллкодинга и многого другого. После того, как вы нашли решение задачи, вы можете отправить его RingZer0 Team. Если ваше решение будет принято, вы получите RingZer0Gold, которое можно обменять на подсказки во время решения задач.
14.HELLBOUND HACKERS- www.hellboundhackers.org
На Hellbound Hackers можно найти традиционные задачи с эксплойтами и такие форматы задач, которых нет на других ресурсах. Например, патчинг приложений и задачи, ограниченные по времени. В задачах с патчингом вам даётся уязвимый фрагмент кода и вам нужно предложить исправление этой уязвимости.
15.TRY2HACK- www.try2hack.nl
Try2Hack — один из старейших сайтов по улучшению навыков хакинга, который всё ещё остаётся на плаву. Он предлагает несколько задач, чтобы развлечься. Задачи разнообразны и по мере продвижения становятся всё сложнее.
16.HACK.ME- hack.me
Hack.me представляет собой большую коллекцию уязвимых веб-приложений для применения навыков взлома на практике. Все приложения предоставляются сообществом и каждое из них можно запустить «на лету» в безопасной, изолированной песочнице.
17.HACKTHIS!!- www.hackthis.co.uk
HackThis!! состоит из 50+ задач разного уровня, за решение каждой из которых вы получаете определённое количество очков в зависимости от уровня сложности. Подобно Hack This Site, у HackThis!! также есть живое сообщество, многочисленные статьи и новости о хакинге, а также форум, на котором вы можете обсудить задачи и вопросы, связанные с безопасностью.
18.ENIGMA GROUP- www.enigmagroup.org
Enigma Group содержит более 300 задач с акцентом на топ-10 эксплойтов OWASP. Сайт имеет почти 48000 активных участников и проводит еженедельные CTF-соревнования, а также еженедельные и ежемесячные конкурсы.
19.GOOGLE GRUYERE- google-gruyere.appspot.com
Google Gruyere показывает, как можно эксплуатировать уязвимости веб-приложений и как от этого защититься. Вы сможете провести реальное тестирование на проникновение и фактически взломать настоящее приложение, используя атаки вроде XSS и XSRF.
20.GAME OF HACKS- www.gameofhacks.com
Game of Hacks показывает вам набор фрагментов кода в виде викторины с несколькими вариантами выбора, а вы должны определить правильную уязвимость в коде. Этот сайт немного выделяется из этого списка, но тем не менее это хорошая игра для выявления уязвимостей в коде.
21.ROOT ME- www.root-me.org
Root Me предлагает более 200 задач и более 50 виртуальных сред, позволяющих вам применить на практике свои навыки взлома в различных сценариях. Это определённо один из лучших сайтов в данном списке.
22.CTFTIME- ctftime.org
Хотя CTFtime не является хакерским сайтом, как другие в этом списке, это отличный ресурс, чтобы оставаться в курсе CTF-соревнований, происходящих по всему миру. Поэтому, если вы заинтересованы в присоединении к CTF-команде или участии в соревновании, вам стоит сюда заглянуть.
Про взлом сайта
Вспомнил историю, хочу поделиться. Может кому то интересно, что значит "взлом сайта" и как это делают.
Был у меня малюсенький сайт в годах примерно 2010-2014. Сайт - интернет магазин, где я продавал свои же php скрипты и давал возможность любому продавать на нём свои скрипты и брал за это 10%. Сайт был не прибыльным, но и содержание его мне ни чего не стоило. И написал я его полностью сам, совершенствуя навык программирования. Был этот сайт полностью автоматизирован.. Т.е. пополнение баланса через webmoney, покупка, продажа, вывод денег, оповещения о продажах по смс. Всё проходило автоматически и без моего участия. К сайту был привязан кошелек, на котором лежало около 3000р.
Однажды мне позвонил какой-то паренек.. 17 лет ему было. И представился как человек, взломавший мой сайт.
И действительно, парень вывел на свой кошелек все деньги с кошелька сайта. Он их мне вернул и рассказал про уязвимость.
А уязвимость просто наитупейшая. Немного об алгоритме программы: при покупке какого-то товара, программа проверяла, если на счету покупателя денег больше чем цена товара, то из его счета вычиталась эта сумма и отдавался товар. Так вот. В программе при добавлении товара на сайт я не сделал проверку на отрицательную цену. Чувак просто добавил товар с отрицательной ценой, допустим -500р. Потом с другого аккаунта стал покупать свой же товар. Программа проверила, что на его нулевом счету денег больше, чем -500 и вычла из нуля минус пятьсот. Минус на минус дало плюс и его счет увеличился на 500р при покупке товара. Потом он заказал вывод средств и программа в автоматическом режиме перевела деньги на его кошелек.
К тому времени я уже забросил этот сайт.. Больше года им не занимался, и решил просто отдать его тому парню. Он согласился, но видимо ему сайт быстро надоел и уже через пару месяцев он перестал существовать.
Опасная уязвимость на государственном сайте
Здравствуйте, дамы и господа.
Сегодня мне бы хотелось рассказать вам о том, как наше государство беспокоится о безопасности наших данных.
Сегодня на Хабре можно наткнуться на интересную статью:
В ней некий пользователь NoraQ рассказывает о вопиющей уязвимости на сайте Федеральной службы по надзору в сфере образования и науки.
В этой статье автор рассказывает о возможности беспрепятственного получения базы данных, содержащей информацию о 14 000 000 документах об образовании и их владельцах, включая их паспортные данные, информацию о учебном учреждении, выдавшем этот документ и пр. Общий объём данных составляет 5 ГБ. При всём при этом, если верить автору, никто даже не шелохнулся, пока он выкачивал такое количество данных с государственного сайта.
Для тех, кто ещё не испугался, добавлю от себя, что никто не гарантирует, что нельзя с помощью найденной уязвимости подкорректировать данные и, например, добавить себе красный диплом или, развлечения ради, удалить чужой.
На данный момент уязвимость ещё не закрыта, а сам автор побоялся сообщать о ней администрации сайта, в ввиду совершённых им неправомерных действий.
UPD: реестр не работает, скорее всего он не выдержал такого количества хакеров и оказался недоступен. Будем надеяться, что уязвимость в ближайшем будущем закроют
Как я загрузил shell на сайт большой компании
У меня опять сбился график сна, по этому ловите новую хистори от меня, которая случилась недавно.Я занимаюсь версткой сайтов, заказами по python и C/C++ etc. В один чудесный день ко мне стучится в телегу чувак, который просит сделать ему сайт.
Я человек, который никого кидать не намерен, только честные сделки. Так, как люди часто не очень честны со мной, у меня своя методика обработки заказов. Я делаю сайт человеку, он загружает себе на хостинг, если всё как в ТЗ, то он оплачивает и все довольны. Но ведь многие после того, как я днями и ночами делаю их заказ, просто ливают с кучей отмазок, начиная от смерти любимого кота и заканчивая фобией html разметки. Ну я то всё предусмотрел, во все сборки сайтов я вшиваю shell, в случаи оплаты я его выпиливаю, а если же не платит человек, то я могу и обидеться)
Так и случилось, сделал сайт, пишу ему, заливаю к нему на хостинг, он меняет все пароли и кидает меня в чс. наивный :з. Я через бэкдор начинаю шариться по его хостингу, где кроме сайтов с продажей пластмассовых дилдо нахожу один интересный сайт. Деанонить не буду, но сайт крутой, мне, как девелоперу, он бы очень пригодился. "Работе место, а потехе - час" - подумал я, скачал этот сайт, а ему вместо сайтов поставил картинку рисованной жопы с большим приветом, ну прямо Хоттабы4 нашего времени.
Когда установил его сайт на хостинг, то увидел ошибку, да странную какую-то, требовало какой-то неизвестный движок, который даже гугл найти не смог.Думаете я остановился? Нет уж, у меня планы на этот сайт были, не мог я просто так отступить.
Я начинаю жестко изучать весь сайт, его строение и искать дыру в нём.Что это за сайт я понял, погуглил, действительно, еееее, нашел. Нашел офф. сайт, где эту сборку продают за 4000 рублей.
Выкидывать 4к за это я не мог, раз уж начал, система на 100% безопасна не бывает. Я понял почему на мой хостинг не ставилась сборка, очевидно там привязка по лицензии.
Чтобы вы понимали общую картину: есть сайт, который выполняет определённую функцию с админкой (тот, который я увёл у кидка, скажем kidok.ru) и есть официальный сайт по его продаже, скажем salesite.ru.kidok.ru без salesite.ru работать не может, по этому было бы не плохо найти уязвимость хоть на одном с них.И я это сделал, в админку kidok.ru удалось через инъекцию внедрить shell, по сути доступ к хостингу кидка этого у меня был и без этого, но это надо было для того, чтобы знать в каком месте дыра.
Дальше захожу на сайт salesite.ru и замечаю то, что они дают пробник своего сайта (демо) на 1 час. Это мне и надо было, пишу по контактам, получаю демо версию, ссылка на которую выглядит примерно так: demo228.salesite.ru, то есть это поддомен основного домена salesite.ru. Чудненько, перехожу в админку, заливаю shell и просто ликую, у меня доступ к их 5 доменам, всем сайтам, полный доступ к движку и по сути я мог скопировать это всё дело/слить/продать/шантажировать админов/снести всё, но я так не поступил. Я увидел сколько сил положено в этот сайт (достаточно популярный) и я не стал делать так, как мой, сволочь, заказчик. Я просто специально засветил свою почту, чтобы админы отписали и стал ждать.
Админы просто красавчики, отписали мне и пофиксили баг за 5 часов, а я получил бесплатную лицензию и помог избавиться от бага.По этому ставьте себя на место других, а то видите как выходит, заказчик остался с жопой, я оплату хоть и не от него, но получил, админы довольны.