В Сети стали (https://www.michael-p-davis.com/using-heartbleed-for-hijacki.../) появляться (https://www.mattslifebytes.com/?p=533) рабочие прототипы эксплотитов (heartattack.py (https://bitbucket.org/johannestaas/heartattack/src), ssltest.py (https://gist.github.com/sh1n0b1/10100394)) нацеленные на проведение практических экспериментов с обнародованной (http://www.opennet.me/opennews/art.shtml?num=39518) вчера критической уязвимостью (CVE-2014-0160) в OpenSSL 1.0.1, позволяющей получить содержимое памяти удалённых серверных и клиентских приложений. Появление эксплоитов привело к волне массовых атак, в частности, пользователи сервиса Yahoo Mail выявили (https://twitter.com/markloman/status/453502888447586304) возможность (https://twitter.com/markloman/status/453519453003993088) использования уязвимости для получения незашифрованных паролей недавно авторизировавшихся в системе случайных пользователей сервиса Yahoo Mail (в настоящее время проблема в Yahoo устранена (https://twitter.com/YahooInc/status/453613063753990144)). Всем пользователям OpenSSL 1.0.1 следует немедленно установить обновление и перезапустить использующие
OpenSSL процессы.
<center><a href="https://pbs.twimg.com/media/BksqeV-IEAAl4i2.png"><... src="http://www.opennet.me/opennews/pics_base/0_1397024186.png" style="border-style: solid; border-color: #e9ead6; border-width: 15px;max-width:100%;" title="" border=0></a></center>URL: https://www.michael-p-davis.com/using-heartbleed-for-hijacki.../
Новость: http://www.opennet.me/opennews/art.shtml?num=39529
Отлично, мне удалось заставить работать эти эксплоиты (если просто скопировать и вставить - будут ошибки выполнения)
и найти уязвимый сайт, как интересно :))
Скрипткидис с эксплойтом - что обезьяна с гранатой...
> Скрипткидис с эксплойтом - что обезьяна с гранатой...обезьяна как минимум на порядок разумней.
> обезьяна как минимум на порядок разумней.Да одинаково, просто это обезьяна 2.0 :)
По-Вашему, только скрипт-киддис могут играться с эксплойтами? Слово "аудит" Вам не доводилось слышать? Поиск уязвимостей на чужих сайтах - способ проверить работоспособность инструмента. Не самый морально безупречный способ, но если не причинять вреда - приемлемый.
>Поиск уязвимостей на чужих сайтах - способпопасть в тюрьму. Что вполне логично - попробуйте провести аудит двери соседа на устойчивость к взлому, без его ведома.
>приемлемый
C точки зрения идиота - да. С точки зрения закона - нет.
Но ведь по результату аудита сосед получает бенефит в кратном размере! Какой замок лучше поставить, где дверь укрепить... Так что все нормально, потряхивайте своими законами в Госдуме.
Если Вы сумели открыть дверь соседской квартиры, а потом закрыли её, ничего не взяв и даже не зайдя в прихожую, то это ст. 31 УК РФ - добровольный отказ от преступления.
> Если Вы сумели открыть дверь соседской квартиры, а потом закрыли её, ничего
> не взяв и даже не зайдя в прихожую, то это ст.
> 31 УК РФ - добровольный отказ от преступления.если только хозяин не заявит, что у него пропали «три магнитофона, три кинокамеры заграничных, три портсигара отечественных, три куртки замшевых».
> а потом закрыли её, ничего не взяв и даже не зайдя в прихожуючитать учись
>> а потом закрыли её, ничего не взяв и даже не зайдя в прихожую
> читать учисьэто ты судье будешь рассказывать. так вот и скажешь: «читать учись, дубина!» конечно же, если потерпевший заявляет, что пропало, а вор говорит, что не брал — вору верят. угу-угу.
Чтобы провести аудит, нужно понимать в чем именно заключается уязвимость, как она эсплуатируется и т.д. ТОпик стартер же самый обычный скрипткиддис, ничего не понимающий в инструменте, к-й он использует.
> "аудит"
> Поиск уязвимостей на чужих сайтахдля тебя, наверное, это будет Открытием, но «аудит» != «поиск уязвимостей на чужих сайтах без ведома владельцев оных».
Я бы даже так сказал: "аудит != скрипткиддинг"
зато какой отмаз шикарный: «это я не просто так мелочь по карманам тырил, это я АУДИТ ПРОВОДИЛ!»
т.е. как я понимаю яху имеет постоянный доступ к паролям пользователей в открытом виде...
Интересно.
Любой сайт на которым ты вводишь пароль имеет доступ к паролю в открытом виде. Ваш КО. В вебе вход по ключу и другие криптобезопасные способы аутентификации не прижились.
Заявлениям что, пароль "хешируется", "солится" и тд. без исходных кодов этих сайтов - грош цена.
Ну теоритически на сайт повесить скрипт который на стороне пользователя шифрует пароль и по Диффи-Хэллману передает на сервер, а он потом солит/хэширует.
На сколько я понимаю перехватывается само соединение, так что соль и хэш тут не причем так как почти все сайты не используют шифрование на стороне пользователя и перехватывает plain text пароль.
> Ну теоритическиТеоритики фиговы.
> на сайт повесить скрипт который на стороне пользователя шифрует пароль
И который Элис тут же перехватит и заменит.
> На сколько я понимаю перехватывается само соединениеТы ничего не понимаешь, не льсти себе.
>На сколько я понимаю перехватывается само соединение, так что соль и хэш тут не причем так >как почти все сайты не используют шифрование на стороне пользователя и ПЕРЕХВАТЫВАЕТ plain >text пароль.Кто перехватывает? Где подлежащее? Где образование?
Ну ты и смешной толстенький глупыш)
как только увидел "Элис", сразу понял, кто тут теоретик обчитавшийся
Там нет ничего не интересного
....#.......Appl
eWebKit/537.36 (
KHTML, like Geck
o) Chrome/32.0.1
700.102 YaBrowse
r/14.2.1700.1259
9 Safari/537.36.
.Referer: https:
//*********.ru/auth/
login?noipauth=1
..Accept-Encodin
g: gzip,deflate,
sdch..Accept-Lan
guage: ru,en;q=0
.8..Cookie: LKMA
INSESSID=n4vi8ft
h86ehsj4daru831q
231; LOGIN=SYRTS
EVATI; YII_CSRF_
TOKEN=30c8b40f27
7f853d946ec73c06
ccf51b9a968384..
там данные из случайного участка памяти. в большинстве случаев - из памяти, использованой в предыдущем запросе. если много раз повторять запрос, можно дождаться и более важных данных
CSRF токен? Куки? Ничего интересного, да.
> CSRF токен? Куки? Ничего интересного, да.Ну да, подумаешь, можно как другой юзер залогиниться. Это ж мелочи.
А это уже как повезет. Я, например, выудил из памяти сервера известного в узких кругах программного продукта логин и хэш пароля от phpmyadmin. Несколько часов брута - и победа.
А потом проснулись, правильно?
тоже так бывало, неоднократно.
На лекции?
>Там нет ничего не интересногоЛюди не поняли двойного (или тройного?) отрицания и ринулись спорить.
>стали появлятьсяBreaking estonian news!
Вообще-то уж вчера днем они имелись, кто не проспал - имел возможность поюзать дырочку, пока ее не прикрыли. Поимели многих крупняков вроде Фейсбука и Яху, у нас - Яндекс с Мылом.ру Разумеется, они теперь будут отмазываться до последнего, что успели закрыть дырку прежде, чем кто-то успел воспользоваться, ну да и хрен бы с ними. Тем более, вряд ли им успели сколь-нибудь существенный ущерб нанести.
Гораздо более интересный вопрос - как эксплойты оказались в паблике всего через пару часов после обнародования уязвимости? С какой целью их вбросили? Надеялись, что скрипткиддисы на радостях бросятся ломать все, до чего дотянутся, и тем самым создадут панику? Хотели невозбранно поюзать баранов - ведь многих из тех, кто этими эксплойтами воспользовался через некоторое время ждет зело неприятный сюрприз. Или еще зачем-то? Наблюдал вчера за этим цирком с интересом, но так и не понял, зачем это было?
> Гораздо более интересный вопрос - как эксплойты оказались в паблике всего через
> пару часов после обнародования уязвимости?Видать, имея нужные скиллы, скрипт написать не так уж сложно.
Тот, кто имел скиллы, написал.
А те, кто не имели, просто скопировали.
