Jak jsem byl napaden

I mezi webmastery/kodery v PHP ;-)

Jste ale te vysoke navstevnosti mel nejak vyuzit! Hodit tam nejakou reklamu a vydelat na tom :-))

Inu nasadil pasticku?
Najzaujimavejsiu cast pribehu si vynechal.
Aku pasticku? Ako vypadala?

hehe dobree :)

Napaden hackery? Nepletete si trosku terminologii?

Nejjednodušší pastičku bych viděl asi takto:

if($_POST['ob­sah_formulare'] == 'ocekavany_vyraz') {
ob_start();
print '<pre>'.print_r($_SER­VER,1).'</pre>'­.EOL;
print '<pre>'.print_r($_POS­T,1).'</pre>'­.EOL;
$sBody = ob_get_clean();

$fw = fopen('log.txt','a');
fwrite($fw,$sBody);
fclose($fw);
}

Vkladani jinych scriptu pomoci formularu je jedna z nejkrasneji napadnutelnych chyb. Nejradeji mam PHP script typu:

include $_REQUEST['url']; :D

Gwyn.

By me zajimalo jak a proc by vas napadli vyvojari kernelu;o)
http://www.root.cz/clanky/hacker-kdo-to-je/

[4][6] Význam slov se v průběhu času mění. Tak jako mnoho jiných, i slovo HACKER získalo mimo svého původního významu (kterým ale NEBYL vývojář kernelu, i když každý kernelový vývojář pravděpodobně byl či je hackerem v původním smyslu toho slova). Věřím, že ai vy dva nepoužíváte všechna slova pouze v jejich původním významu. Jistě znáte slovo "letoun" - a asi byste se divili, kdybych tvrdil, že používáte divnou terminologii, protože toto slovo původně znamenalo živočicha schopného létat...

taky by me zajimalo co to bylo za chybu, nebot dostat vlastni soubory na vzdaleny server neni zas tak jednoduche (zvlast, pokud clovek ma stranky "vlastni" vyroby a neda se dostat k jejich zdrojovemu kodu), co vim, tak takto napadene servery byly diky zcizeni uctu na ftp pristup

[7] Ano ale problem je, ze temer vsichni programatori (kteri jsou toho slova hodni) stale pouzivaji (a podle vseho i nadale budou pouzivat) slovo hacker v puvodnim smyslu slova. Pokud tedy postujete na Rootu, bylo by vhodne dodrzovat ten vyznam, ktery zdejsi ctenari ocekavaji.

Co je na tom složitého? Pokud někdo dovolí include skriptu z jiného serveru, není problém vytvořit na tom serveru vlastní skripty které mohou dělat v podstatě cokoliv ...

ani vase uroven znalosti ceskeho jazyka neni valna ...

[7] To ze si par pisalku mysli ze maji recept na pravdu neznamena ze ten puvodni, pozitivni vyraz slova nebudu pouzivat dal. A jak uz poznamenal kolega [9], jsme na rootu, kde se puvodni vyraz ocekava.

no pokud se includuje skript ze vzdaleneho serveru, tak tento skript je i interpretovan na tom vzdalenem serveru a tudiz nemuze nic udelat na tom "napadenem" - pouze u uzivatele se stranka jevi s trochu jinym obsahem a muze neco napachat, treba za pomoci javaskriptu, ktery se tam takto da vpasovat a na puvodni strance nebyl

[13] za predpokladu, ze includovany soubor nema priponu php a nebo ze na vzdalenem serveru vubec php interpret nebezi si napadeny server stahne nezpracovany skript a ten pak spusti - viz security warning na http://cz.php.net/include/

[14] diky za pouceni, tohle jsem nejak prehledl (nebo uz pozapomnel, nebot veskery include delam tak, aby slo spustit pouze mnou "povolene" skripty a neslo cestu k nim podvrhnout)

[7] Používat slova ve správném významu je důležité. Tím, že budu kočku nazývat psem, ji nenaučím štěkat.

[9][12] Souhlasím s tím, že skutečnost, že páni novináři si vymyslí slovo nebo existujícímu z neznalosti dají jiný význam, by nemělo znamenat, že budeme tu chybu papouškovat dále.
Nicméně jistě není ideální ani varianta, že člověka, který z neznalosti použil nesprávnou verzi, jízlivě setřeme či s pocitem vlastní převahy zesměšníme (zejména pokud tím dáme najevo, že sami ve významu toho slova nemáme jasno). "Buď konzervativní v tom, co odesíláš, a liberální v tom, co přijímáš," říká se v jednom dnes již polozapomenutém dokumentu zvaném Netiketa.

[16] To nepochybně nikoli; nicméně si uvědomme, že velmi dlouho platilo, že cracker musel být zároveň i hackerem (i sociální inženýrství je jistý druh hacku). Pes kočkou nebyl nikdy. A nepochybuji o tom, že pro každé slovo používáte jeho precizní význam, a to i v oblastech, kde si jste sám ne stoprocentně jistý.

Výslovně ale přiznávám, že pohybujeme-li se v prostředí, kde je zvykem rozdíl mezi pojmy dodržovat, je jeho nerespektování možno považovat za "fouks pas", jak říkáme my fonetici :-)

Jestli si myslíš, že hacker používá pro hackování svůj počítač, tak jsi hodně naivní.

IP adresa, kterou jsi získal, patří jen nějakému chudákovi, který měl hacknutý počítač stejně jako ty.

Bank of America i PayPal ji hodili do koše, je jim zcela k ničemu.

Autora celkem chapu, pred par lety se mi stalo neco podobneho :-) Inu, chybama se clovek uci.

A já žil v domnění, že většina webových serverů je nastavena tak, aby nebylo možné includovat soubor z jiného serveru.

btw: Myslím, že stejně fungoval přes TOR nebo něco podobného.

Ahoj, zajimavej clanek - sem to sel hned zkontrolvat na nasich servrech :)

Jek sem tak jeste googloval, nasel jsem tento clanek: http://blog.php-security.org/archives/45-PHP-5.2.0-and-allow_url_include.html

Koukam, ze s tema includama v PHP to nebude zas tak slavne.

[17] Nechtel jsem aby oprava vyznamu slova hacker vypadala nejak arogantne.
Ale trapne je, ze si nekdo, viz treba komentar [18] porad mele svou a nepouci se. Proc by proboha panove jako Alan Cox nepouzivali k praci vlastni pocitac?

Zajímavá diskuze :-))
Pastičku jsem dal jednoduchou, účelem bylo získat informace a nepovolit další škody. Data si poškozené instituce vyžádali, takže doufám že jim k něčemu jsou.
:-)))