[Юмор] Как был взломан сервер нубомодератора Rusman`а

Приветствую, вот и закончилась эпопея с нубоадмином и нубомодером Rusman!
на его примере я покажу как нада минимально защищать сайт от таких как я.

Как вы догадались, я его поломал.
В один прекрасный день, я нашел банальнейший баг в мой-веб обвязке.
я залил свой шелл и поменял его расположение с папочки news на папочку admin на его форуме)

в те далекие времена, сервер еще не работал и сайт тока тока поставили, потому я успешно об этом шелле забыл.
ну как тока появился онлайн, уже 8-10 чел началось самое веселье.

Как оказалось, его мускул был открыт на весь мир. притом 1 юзверь с правами рута!
Естественно я стал частым гостем в его базе)
все установленные сайты и форумы были поставлены кое как, админки не прикрыты ничем. Даже минимально не закрыты .httacess файлами.
все инсталлы форума и сайты были на месте, потому я смог легко получить доступ и к мускулу сайта.

Единственно что попробывал сделать нубомодер, так это сменить 2 раза движек сайта. но так как шелл был не в сайте, это ему не помогло.
вот я думаю он удивился после того как я снова оказался на его сервере)

Особенно мне понравились его попытки бана по ипу.
На сайте я легко менял настройки нужных файлов, а в игре юзал прокси. так что могу сказать сразу. бан полезная вещь, но полагаться на него не стоит.
Более того, никогда не баньте по ипу. я например в базе менял свой ип на ип соседнего акка. потому у нубомодера есть 2-3 моих ипа, притом ниодного реального ;)

Нубомодеру было предложены мои услуги по избавлению его сайта от багов, на что он отказался и видимо дал денег кому то еще ;)


Итак важные уроки для таких же нубоадминов:
0. Если вас поломали, первым делом ищем левые файлы у вас на сайте. Чаще всего они находятся обычным антивирем (мой не находится,но тут ручками пересмотреть мона)
1. Никогда не делайте 1 юзверя на мускул с открытым доступом на весь инет. Желательна привязка по ипу и жесткие, ограниченные права в базе.
2. Выполняйте все предписанные разработчиком софта (сайта и форума) требования по защите.
3. Баньте, но не по ипу. (в большенстве случаев хватает просто отрубить регу)

В виде бонуса картинка с приколом на сервере:
С тыквы падал сет б грейд и фулл комплект рб бижы.
Все челы на тот моменты были точенны полностью на 1500 ;)

сайт починил я. но скажу вам по секрету, дыр там было еще и кроме этой.

получилась рифма))

сайт починил я. но скажу вам по секрету, дыр там было еще и кроме этой.

получилась рифма))

Да, молодец, ценю ;)
Как я уже говорил, это первый мой опыт своего проэкта и первые случаи взлома.
Хотел унизить? не вышло.

rusman: Да, молодец, ценю ;)
Как я уже говорил, это первый мой опыт своего проэкта и первые случаи взлома.
Хотел унизить? не вышло.

Не смешно и глупо, а более скучно. Ломать сервер с онлайном 10 человек, да еще и человека кто в этом не ахти.

Смысл сиго мероприятия? Кому показывать? Зачем? За что? Или все пресутсвующие должны падать от смеха?


Думаю ты просто потешил свое самолюбие) Да и незачем об этом даже упоминать. Или он тебе чем-то навредил, что ты мешал человеку тупо попробывать себя в роли админа)?

гыгыгы

думаю стоит смотреть кого берете в модеры ;)
был бы обычный нуп, не выложил бы даже.

Умник на нубов то, рискни меня поломать, ты даже не узнаешь ничего, у меня специальный метод в сайте даже если мой сайт скачать ты там никогда не найдеш лог и пасс к mssql. И гордится что ты порылся в исходниках сайта на самом дырявом языке в мире, я думаю не стоит.

Да какая разница кто и что уважаемые господа(если такие имеются) !?


Речь идет о взаимопомощи) Просто я такой хренью занимался годика 3 назад, когда было делать нехуй, а щас прихожу домой в часов 7 работа+тренировки убивают меня) поетому возможно я акселля не пойму.


Поетому в следующий раз Аксель просьба связатся с человеком и подробно обьяснить ему в чем изьян его сервера)



p.S. Если будет сервер свыше 300+ онлайном и донейт кабинетом... зови я вспомню молодость

Linux: Умник на нубов то, рискни меня поломать, ты даже не узнаешь ничего, у меня специальный метод в сайте даже если мой сайт скачать ты там никогда не найдеш лог и пасс к mssql. И гордится что ты порылся в исходниках сайта на самом дырявом языке в мире, я думаю не стоит.

Сказать чтоли нечего на мой пост)? Хватит дрочить F5 напишите что нибудь)

Destus , Жгет)))

Ну не хотите не нужно. Пойду спать и перестану компосировать мозги бедному акселю)

мои мозги бесполезно компостировать.
что я хотел сказать, уже сказано.

pchayka анд axelll

4 года труда над защитой и совершенствованием обсалютно с0ля на asp, тока отпишитесь плизз, а то просто тупо молчать неинтересно.
_emld.net

AbsT
Незнал такой комманды в asp.net если ты про php.ini в апаче то такой дырявой бредятиной я не пользуюсь.