centerdom.com.ua - взломали?

[chester21]

centerdom.com.ua - взломали?

Мне переслали письмо, которое пришло на почтовый ящик centerdom-a, что бы я подтвердил факт взлома :

Здравствуйте!
Я занимаюсь тестированием сайтов, работающих под управлением различных CMS (Content Management System), т.е. систем управления содержимым. Моя специализация - обнаружение всех возможных "дыр" в системе управления и устранение их. Исходя из моего более чем 5-летнего опыта могу сказать, что особенно много таких проблем бывает у т.н. "самописных" систем, хотя и некоторые профессиональные CMS (особенно бесплатные) этим тоже грешат.
Я тестировал Ваш сайт на предмет самых "популярных" ошибок в защите, которые встречаются чаще всего и могу сказать, что фактически любой человек, если у него будет такое желание, ну и конечно же, соответствующие знания, сможет взломать базу данных Вашего сайта. Чтобы не быть голословным, посмотрите на скриншот (http:/www.rapidshare.ru/1205233), самая верхняя часть. Я это сделал минут за 15, потом вернул назад. Не переживайте, я не ставлю целью хакерскую атаку, только хочу продемонстрировать Вам, что "дыр" на вашем сайте хватает.
Предлагаю Вам свои услуги по устранению всех проблем на вашем сайте. Я могу только примерно догадываться о цене, которую Вы заплатили за разработку сайта. Так вот, мои услуги по исправлению ошибок в его "движке" будут стоить на порядок дешевле.
До свидания!

Проверил. Ниже текст моего письма доброжелателю :

К сожалению, скриншот нельзя считать за доказательство взлома. Обычно, стоит оставить более весомые доказательства. Типа автографа на главной странице, или, если вы проводите "аудит", то некоторых изменениях на сайте, по которым можно однозначно определить факт взлома. Кроме того, если вы проводите "аудит", принято сообщать об обнаруженной уязвимости.

Ничего из этого сделано не было. И вот почему:

Просмотрев статистику http/ftp на centerdom.com.ua и на смежных сайтах, можно сделать вывод что факт взлома отсутствует. Запросов, с типичной для SQL-инекций структурой не обнаружено. По ftp сторонних подключений нет.

Ко всему прочему, Вы очень неудачно выбрали страницу. Дело в том, что для того чтобы страница соответствовала "скриншоту", взлома базы не достаточно, необходима правка скриптов. Так что SQL-инекции можно исключить.

Остается только правка файла кеша страницы. Для этого необходимо подключение по ftp, либо взлом скрипта через который можно работать с файловой системой. Следов нет, дата изменения файла не соответствует.

Либо Вы убрали следы взлома (речь уже не про дыры в админке, а про взлом сервера), либо скриншот был подделан.

Варианты подделки:

1. Отрисовка в photoshop-е.
2. Правка кода в *.mht файле.

Оба варианта хороши, правда подразумевают некоторое знание photoshop-а и html/css. Скриншот был пристально рассмотрен. Выяснилось, что месторасположение элементов страницы соответствует вплоть до пиксела. Текст, цвета, обводы и "ореол"
шрифта точно совпадают. Для этого необходима ручная правка изображения, либо знание photoshop-а на уровне дизайнера или верстальщика. Так что, Вариант № 1 возможен.

Так же, такой "скриншот" можно получить следующим образом :

Сохранить страницу сайта в файл с расширением .mht при помощи браузера Opera. Внести необходимые изменения в код страницы. Сделать принтскрин открытого в Firefox-е .mht файла и реальной страницы, и совместить их в photoshop-е. Это гораздо более вероятный сценарий подделки скриншота. Однако он требует наличия на вашем компьютере установленного браузера Opera, что требует подтверждения.

Можно все это сделать и при помощи firefox-а, установив плагин UnMHT. Но вероятность того что кто либо взял на себя труд разобраться с генерируемым кодом низка.

Исходя из записей статистики, можем сделать вывод, что браузер Opera у Вас есть. Следовательно Вариант № 2 подтвержден.

Браузер - Mozilla/5.0 (Windows NT 6.1; U; ru; rv:1.8.1) Gecko/20061208 Firefox/2.0.0 Opera 10.00
IP - 109.86.155.140 (Триолан)
Страница - page=13
Время - 2009-10-11 05:41:55, 2009-10-11 05:42:42, 2009-10-11 06:10:15

Браузер - Mozilla/5.0 (Windows; U; Windows NT 6.1; ru; rv:1.9.0.14) Gecko/2009082707 Firefox/3.0.14 (.NET CLR 3.5.30729)
IP - 109.86.155.140 (Триолан)
Страница - page=13
Время - 2009-10-11 05:42:51

Время необходимое на взлом сервера или самописной админки велико. Для взлома необходимы серьезные основания, и если Вы проводите поиск клиентов, то выбранный вами способ не является на мой взгляд корректным. Хотя возможно и самым прибыльным
при должной массовости.

В подтверждение прибыльности могу сказать, что если Вами была обнаружена уязвимость, то просим сообщить нам о ней. Мы закажем аудит.

На данный момент, за отсутствием фактов подтверждающих версию взлома оцениваем угрозу как низкую.

Ожидаем, и надеемся на корректность.

Это уже не впервые приходят письма похожего содержания. До этого было письмо от какого-то парня, который угрожал взломать сервак на котором расположен abas.com.ua если ему не предоставят полный и бессрочный доступ к базам по недвижимости.
На этом фоне периодические "атаки спамом" на почтовые ящики смотрятся как мелкие шалости.
У kharkovestate, тоже проблемы. Постят всякую фигню на доску объявлений.

В связи с этим вопрос:

А вы, имея возможность нагадить без последствий, нагадите?

Черт! Заголовок темы прикольный вышел :
Опрос: centerdom.com.ua - взломали?

Почтового ящика cms-auditor@****** не существует. Зря только отписывался.

Собственно, сам скриншот:


выделил, чтобы понятнее стало:

 

[cyber2]

ппц
школьнеги ето 100%
растет молодое поколение )))

Почтового ящика cms-auditor@****** не существует. Зря только отписывался.

скорее всего уфигачили его по жалобе от других сайтовладельцев к кому это письмо приходило...

Я это сделал минут за 15, потом вернул назад.

развод имхо

 

[mazzaonline]

ыы, банально

 

[cyber2]

В связи с этим вопрос:

А вы, имея возможность нагадить без последствий, нагадите?

гадить - не имеет смысла. это тупо не приносит денег.
да и какие нафик последствия
дятел пожлобился $10 на VPS где-нить в штатах, который можно бы было одноразово использовать для VPN тунеля. И фиг бы вы узнали меня )))

Исходя из записей статистики, можем сделать вывод, что браузер Opera у Вас есть. Следовательно Вариант № 2 подтвержден.

Браузер - Mozilla/5.0 (Windows NT 6.1; U; ru; rv:1.8.1) Gecko/20061208 Firefox/2.0.0 Opera 10.00
IP - 109.86.155.140 (Триолан)
Страница - page=13
Время - 2009-10-11 05:41:55, 2009-10-11 05:42:42, 2009-10-11 06:10:15

Браузер - Mozilla/5.0 (Windows; U; Windows NT 6.1; ru; rv:1.9.0.14) Gecko/2009082707 Firefox/3.0.14 (.NET CLR 3.5.30729)
IP - 109.86.155.140 (Триолан)
Страница - page=13
Время - 2009-10-11 05:42:51

блин ну нельзя быть такими доверчивыми
чувак вас сам толкает на верный путь, на неверные логические выводы
может вы не знали, но User-Agent можно написать что угодно, даже помоему плагин был для фаерфокса...

 

[Ferox]

Мне часто пишут про взломы... Я собственно игнорирую, а не пишу ответы....

Тем более, мои сайты на самом деле ломаются (я знаю) там есть куча SQL-инъекций и XSS но нагадить сайту у меня хакер никак не может. Максимум что может - увести пароль у других пользователей.

 

[chester21]

блин ну нельзя быть такими доверчивыми
чувак вас сам толкает на верный путь, на неверные логические выводы

Не много не понял. По вашему, в статистике были засвечены эти User-Agent-ы для того что бы мы сделали вывод в пользу варианта с .mht?

может вы не знали, но User-Agent можно написать что угодно, даже помоему плагин был для фаерфокса...

Знал конечно. Написал кучу парсеров.