Форум сетевых администраторов - Взлом, как уберечься

Страницы (4): [1] 2 3 » ... Последняя »
Показаны 57 сообщений на этой странице

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Хаки от Netadmin или "Сделай сам" (http://netadmin.ws/forum/forumdisplay.php?forumid=65)
-- Взлом, как уберечься (http://netadmin.ws/forum/showthread.php?threadid=1463)

Помещено madgreen 02-06-2002 в 13:15:

Взлом, как уберечься

Совсем недавно столкнулся с проблемой взлома вб! �_аньше, конечно же, понимал, что это возможно, но не думал, что люди пойдут на это, что же.....надежды не оправдались!
Итак, как уберечься? Может, хаки есть какие-то, которые помогают противостоять взломщику?

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Помещено polo 02-06-2002 в 13:59:

а по подробнее можно?

__________________
Всегда есть решение.

Помещено Total 02-06-2002 в 14:01:

madgreen
А что собстно взломщик может сделать?!
1. запароть базу
2. поставить себя в базе админом (что самое прикольное)
3. DoS атака... самая распространеная...
4. С помощью sessionhash зайти под любым логином...
5. Нафлудить ...
6. Еще много всего ....

Для осуществления 1-3 нужно сломать пароль от базы, что весьма не легко ..... Хотя ели в конфиге прописан метод http это сделать весьма не трудно Я обычно если лезу а базу загружал конфиг, закончил дело стираю его

__________________
Интернет форум для всех Ты тут еще не был? ...
рейтинг форумов Админы форумов - сюда!!!

Помещено madgreen 02-06-2002 в 16:04:

нет, базу он не запорол, он каким-то образом подобрал админский(мой) пароль, а потом он просто взял, да все форумы поудалял....
как реализовать 4 пункт и как защититься?
как сделать последнее, то есть как ты делаешь?

ОФФТОП: помните такой стиль ultraboard(тот что с флэшем)? урл-чик можно?

Помещено Total 02-06-2002 в 16:34:

madgreen

quote:
как сделать последнее, то есть как ты делаешь?

Непонял....

quote:
как реализовать 4 пункт и как защититься?

хехе.... ни скажу... иначе все будут ломать...А защититься практически невозможно, разве что написать скрипт который будет сравновать cookies s session + id запроса.... Но это то же поидее можно обойти ... Есть еще один вариант, но для его осущиствленря нужен программер который мог бы изменить код авторизации... �_то про защиту

__________________
Интернет форум для всех Ты тут еще не был? ...
рейтинг форумов Админы форумов - сюда!!!

Помещено polo 02-06-2002 в 20:57:

quote:
4. С помощью sessionhash зайти под любым логином...

При помощи sessionhash зайти под чужим ником не возможно, каждый раз проверяется пароль и имя пользователя которое прописано в куках, нет куков, нет аутентификации, все просто.

quote:
базу он не запорол, он каким-то образом подобрал админский(мой) пароль

мог подобрать админовский пароль потому-что его знал, написано не мало о том как нужго подбирать пароли, скажи как можно например угадать такой пароль dvg5HYR566df54JGknc, никак думаю, можно еще заполучить пароль из куков шифрованный в md5 и поставить себе куки форума хотя я не представляю как это можно осуществить и более того для входа в админ панель нужно повторно вводить пароль, так что думай.

__________________
Всегда есть решение.

Помещено madgreen 02-06-2002 в 21:44:

quote:
мог подобрать админовский пароль потому-что его знал, написано не мало о том как нужго подбирать пароли, скажи как можно например угадать такой пароль dvg5HYR566df54JGknc, никак думаю, можно еще заполучить пароль из куков шифрованный в md5 и поставить себе куки форума хотя я не представляю как это можно осуществить и более того для входа в админ панель нужно повторно вводить пароль, так что думай.

он(а)

как-то с реквестом пароля эту фишку провернул! так как мне в ящик после этого пришло около 20 писем, в которых новые реквизиты аккаунта были! блин, вот уроды......

Помещено 2thed 02-06-2002 в 22:08:

quote:
он(а) как-то с реквестом пароля эту фишку провернул! так как мне в ящик после этого пришло около 20 писем, в которых новые реквизиты аккаунта были! блин, вот уроды......

А где форум сидит? а то эсли на томже хосте можно иметь shell акаунт то он мог запустить елементарный sniffer и дать запрос на забытый пароль. а пароль по мылу уходит plain текстом. так что такие фичи высилание пороля по мылу надо отклучать... или прикрутить шифрование, но на PHP неприходилось что то подобное выдеть.
а sniffer он мог и у тебя на локальке запустить подумай можеть кто из близких?

Помещено polo 02-06-2002 в 22:32:

quote:
он(а) как-то с реквестом пароля эту фишку провернул!

Интересно олнако, давайте же подумаем как это могли осуществить, а потом придумаем реальную зашиту. Куки из бараузера я думаю достать просто так не возможно разве что использовать какой-нибудь троян который бы выслал по мылу файлы куков, но этот троян думаю надо как-то в комп ввести и если юзер опытный то такое маловероятно. Еще мог заполучить доступ к твоему мылу. В общем что скажете, какие еще есть мысли.

__________________
Всегда есть решение.

Помещено Gizmo3k 02-06-2002 в 23:09:

Хм... Хотел себе ВБ ставить, а тут прочитал и протормозил слегка Интересно стало. Так что, вопрос пока остаётся открытым?

Помещено 2thed 02-06-2002 в 23:15:

quote:
Куки из бараузера я думаю достать просто так не возможно

если пользается IE то совсем нетрудно спомощю cros-scripting'a . просто надо как то замонить человека на подготовленый сайт или просто мыло прислать. но с мылом тоже если юзает outlook/outlook expres . есть и другие способы , поетому и нерекомендуется ставить windows в default директорию.

quote:
разве что использовать какой-нибудь троян который бы выслал по мылу файлы куков, но этот троян думаю надо как-то в комп ввести и если юзер опытный то такое маловероятно.

ну если закачать троян то просче keyloger->email или даже файл манагер и все равно где нибудь на диске будеть лежать TXT с паролями. разве у болшинства не так? кто из вас пользуется чем то типа WpfAdminSafe?

quote:
Еще мог заполучить доступ к твоему мылу. В общем что скажете, какие еще есть мысли.

у а еслибыло бы доступ к мылу то и одного запросахватило бы. а тут как я понимаю порядка 20 пришло.
поетому я склоняюсь к sniffer'y так как один пакет можно и проморгатьа при таком колычестве точно выудиш.
но еще больше я начал склонятся что это было сделано с помощю PHP - мыло то приходило уже с новами данимы..

Помещено polo 02-06-2002 в 23:15:

да нет вб тут не при чем, я думаю всетаки злоумышник заполучил доступ к эмэйлу, на этом и сыграл, вот например какие минимальные меры безовасности можно применить:
1. Сделать дополнительную зашиту директории admin при помощи .htaccess.
2. Делать ежидневные копии базы данных, что думаю очень эфективно, обещаю написать скрипт который будет вызываться через крон и делать ежидневный бэкап.
3. Слегка модифицировать вб отключив возможность смены пароля для администратора.

__________________
Всегда есть решение.

Помещено zubkov 02-06-2002 в 23:22:

Gizmo3k Причем тут ВБ? Любая система, обладающая каким-либо интерфейсом, имеет потенциальные дыры. Абсолютно защищенная система - зарытый в землю выключенный комп (и то его выкопать можно)

Поэтому:
1) всегда помнить, что есть подростки, которым в сетке нечем заняться
2) делать админские пароли для разных систем (сайтов и т.п.) уникальными и лучше содержащие случайную последовательность 8 и более символов.
3) периодически делать дамп или проверить, делает ли его на самом деле хостер
4) ну и патчи устанавливать по мере возможности

Помещено polo 02-06-2002 в 23:35:

quote:
кто из вас пользуется чем то типа WpfAdminSafe?

А вот это непредусмотрительно пользоваться тхт файлами для хранения паролей. лучще уже в какой-нибудь блокнот зписывать (имею ввиду бумажный

). Я к примеру использую big crocodil удобная прога для хранения паролей + пароли хорошо генерирует, не надо себе забивать мозги придумыванием паролей.

__________________
Всегда есть решение.

Помещено polo 02-06-2002 в 23:36:

quote:
3) периодически делать дамп или проверить, делает ли его на самом деле хостер

Как правило хостер не делает дамп базы данных, хотя должен был бы.

__________________
Всегда есть решение.

Формат времени GMT. Текущее время 00:35.

Страницы (4): [1] 2 3 » ... Последняя »
Показаны 57 сообщений на этой странице