ДЖОН И УЯЗВИМОСТЬ

Megakoder(21.06.2010/15:36)
Привет всем для чего я создал тему очень просто чтобы знающие кодеры подумали о защите этот движок хороший я даже дцмс променял на джона вопрос один вот написал я мини скриптик можно сказать мини дос атаку пока она безвредна но если в функцию включить пакет с реальным вирусом ЧЕСНО дцмс движок слетал уважаемые кодеры давайте будем думать как защитить джона от ИНАТТАКИ это страшнее дос и я слышал про такие скрипты живой пример вот http://www.hostru.tk/johncms/Pro/index.php также хочу сказать что безопасность на 1 месте зачем вам моды супер навороты если движок могут снести давайте обсудим проблему вместе!!!

Megakoder(21.06.2010/15:43)
Думаю специалистов тут хватит!!!

Kip-OK(21.06.2010/15:44)
:восадок:

Megakoder(21.06.2010/15:45)
Еще Думаю к защите не помешало бы дополнительная функция запроса пакетов!!!

ТУМАН(21.06.2010/15:45)
Бред :нуну: пайду аватар паменяю.
Сорри за оффтоп.

localhost(21.06.2010/15:50)
Цитата:{Megakoder (21.06.2010/15:36)
Привет всем для чего я создал тему очень просто чтобы знающие кодеры подумали о защите этот движок хороший я даже дцмс променял на джона вопрос один вот написал я мини скриптик можно сказать мини дос }-Ответ:ГГ
Это не атака а просто напросто тупой флудер чтоб онлайн нагнать гг

FlySelf(21.06.2010/15:50)
ты имеешь ввиду защита против вредоносного кода в скрипте? так это уже проблема админа сайта, что он выбрал криворукий хост, юзал дырявые фтп или же просто хватанул вирус

Megakoder(21.06.2010/15:51)
ХОРОШО ВВЕДИТЕ В ОКНО MIRMASTERA.RU/ONLINE.PHP И ВЫ УВИДЕТЕ ЧТО САЙТ умер

localhost(21.06.2010/15:52)
Megakoder,  И кстати, против досса и простого флудера тут реализованна защита, даже когда быстро по страничкам бегаещ то выскакивает белая страничка с надписью Flood   гг

localhost(21.06.2010/15:52)
Цитата:{Megakoder (21.06.2010/15:51)
ХОРОШО ВВЕДИТЕ В ОКНО MIRMASTERA.RU/ONLINE.PHP И ВЫ УВИДЕТЕ ЧТО САЙТ умер}-Ответ:Норм пашет, я спокойно зашел гг

FlySelf(21.06.2010/15:56)
Цитата:{Megakoder (21.06.2010/15:51)
ХОРОШО ВВЕДИТЕ В ОКНО MIRMASTERA.RU/ONLINE.PHP И ВЫ УВИДЕТЕ ЧТО САЙТ умер}-Ответ:бугага, ты реально мегокодер)))

Megakoder(21.06.2010/15:58)
Вот пример http://mirmastera.ru/pages/online.php

localhost(21.06.2010/15:59)
Цитата:{Megakoder (21.06.2010/15:36)
Привет всем для чего я создал тему очень просто чтобы знающие кодеры подумали о защите этот движок хороший я даже дцмс променял на джона вопрос один вот написал я мини скриптик можно сказать мини дос }-Ответ:Ыыыыыыыыыы, а не ты случаем админ того сайта?
Исправь для начала синтаксическую ошибку на сайте гг

Megakoder(21.06.2010/15:59)
Превысил пакет ехе и результат

localhost(21.06.2010/16:02)
Цитата:{Megakoder (21.06.2010/15:58)
Вот пример http://mirmastera.ru/pages/online.php}-Ответ:Млин, говорят тебе что это простой флудер, который посылает пакет ип адресов и все, и поетому скрипт их считает, ты ним могеш счетчики се крутить.

ТУМАН(21.06.2010/16:05)
Слабо убить сайт o5we.ru? :зар:

И аватар у мя пачему та не меняетцо:хм:

Scroll(21.06.2010/16:14)
Афтор если на главной джона будет висеть надпись "Сцайту пиздц" тогда караул,а так птьфу и не более

AlkatraZ(21.06.2010/16:25)
ИМХО, афтар реальный мечитатель :зар:
При чем тут Дос атака и снос двига?

ДОС атака - это ебланский метод, за это тех педиков что досят надо ловить и отрывать яйца.
НО средствами РНР от серьезного Доса бороться невозможно - это уже дело Хостера и их Файрвола.

А снос двига - это наличие реальной уязвимости. И всякие инатаки-сраки тут непричем. Если уязвимость есть - снесут без всяких лишних примочек.

FreeAleX(21.06.2010/16:49)
Аффтак - мега кал хацкер:гапак:

---
Онлайн: 14 / 1098

Megakoder(21.06.2010/16:50)
Очень просто при отправки пакета в бд в виде usеrаgеnt имеет расширение txt который можно вызвать из базы потом простым способом Закачав любую картинку при обращении к скачке будет запущен код который приведет к массовым процессом сервера произойдет сбой что хуже многих взломов я же не говорю что давайте ломать а создать защиту от отправки пакета в базу

Megakoder(21.06.2010/16:55)
Это же не значит что дос атака безвредна и на нее нужно закрывать глаза есть очень опасный скрипт на меня делали Атаку после этого ХОСТИНГ не работал ж3 суток а мой сервер просто заблокировали за нагрузку так что в говно сесть или рыбку съесть!

ТУМАН(21.06.2010/16:56)
Megakoder,  Создавай и кто тебе мешает?

AlezZ(21.06.2010/16:56)
Цитата:{FreeAleX (21.06.2010/16:49)
Аффтак - мега кал хацкер:гапак:---Онлайн: 14 / 1098}-Ответ:Онлайн: 15 / 1125 ужe. Чe это зa хня?

FreeAleX(21.06.2010/16:56)
localhost, на твой пост ([url=http://johncms.com/forum/index.php?act=post&id=303171]21.06.2010 / 20:59[/url]) отвечу,  СВ он вот:ул:

Kip-OK(21.06.2010/16:58)
гг рекламщег

FreeAleX(21.06.2010/16:59)
AlezZ,  http://johncms.com/forum/index.php?act=post&id=303173

Arhange[L](21.06.2010/17:00)
дали детям игрушку :восадок:

AlezZ(21.06.2010/17:02)
FreeAleX,  Аффтaр хaкeр нaх! Гг

Megakoder(21.06.2010/17:06)
Во первых я ни одного слова не упоменул о своем сайте во вторых если вы профы почему бы не написать такуюже игрушку или сделать нормальную защиту а не обсуждать гг да гг можно в гусей превратится

Xpress(21.06.2010/17:17)
Цитата:{Megakoder (21.06.2010/17:06)
Во первых я ни одного слова не упоменул о своем сайте во вторых если вы профы почему бы не написать такуюже игрушку или сделать нормальную защиту а не обсуждать гг да гг можно в гусей превратится}-Ответ:А ты сам написал скрипт тот, который позволяет досить?

Ломастер(21.06.2010/17:19)
Эта тема полный бред и порожняк, или давайте пример сломанного Джона кмээс или кройте пустую болтовню уже :)

localhost(21.06.2010/17:20)
Цитата:{Megakoder (21.06.2010/16:50)
Очень просто при отправки пакета в бд в виде usеrаgеnt имеет расширение txt который можно вызвать из базы потом простым способом Закачав любую картинку при обращении к скачке будет запущен код который}-Ответ:О какой отправке ты говориш то? Вообщето в джоне ЛЮБАЯ запись в базу ФИЛЬТРУЕТСЯ и причем очень неплохо, и как так в базу идет запрос в тхт файле? Ты рехнулся?
Да и как ты сможеш вызвать из базы то что те надо не имея доступа к ней?
Если так судить то проще в загруз центр слить тот же тхт файл с описанием и вредоносным кодом и вызвать его на странице описания, так как описание в загрузе тоже в базе хранится.
Ты реально мегоеблан, извините за мат но начитаются снипеттов и возомнят из себя хрен знает что.

Megakoder(21.06.2010/17:22)
Вам же говорят создаем защиту а не ломаем и показываем примеры тем более речь о безопасности а не о взломах

AlkatraZ(21.06.2010/17:23)
Цитата:{Megakoder (21.06.2010/16:50)
Очень просто при отправки пакета в бд в виде usеrаgеnt имеет расширение txt который можно вызвать из базы потом простым способом Закачав любую картинку при обращении к скачке будет запущен код который}-Ответ:Ну это не про наш двиг.
Пускать в базу непроверенный UserAgent - как минимум глупо,  только пацан. который 2-й день как сел за РНР может допустить подобную глупость.

Ты видел. как в двиге обрабатывается UserAgent?

$agn = htmlentities(substr($_SERVER['HTTP_USER_AGENT'], 0, 100), ENT_QUOTES); 

Мало что раскладывается на сущности (что избавляет от всяких китайских символов), вдобавок еще и обрезается по длине на 100 символов.

как ты туда запихнешь картинку, или вредоносный код? :зар:

MAXIMUM(21.06.2010/17:24)
[img]http://www.timura.net/images/stamp/68.gif[/img]

AlkatraZ(21.06.2010/17:25)
Цитата:{Megakoder (21.06.2010/16:55)
Это же не значит что дос атака безвредна и на нее нужно закрывать глаза есть очень опасный скрипт на меня делали Атаку после этого ХОСТИНГ не работал ж3 суток а мой сервер просто заблокировали за нагр}-Ответ:Кто тебе сказал, что ДОС атака безвредна?
Она очень вредна, но средствами РНР бороться с серьезной атакой невозможно.
Даже если в .htaccess забанишь все IP адреса, все равно, ляжет сам Апач из-за перегрузки.
С серьезными ДОС атаками борятся хостеры. у них специальное оборудование. Ну и затем - правоохрагнительные органы.

Ибо ДОС атака - это не взлом. а обыкновенное вредительство.

Megakoder(21.06.2010/17:29)
Слушайте я смотрю вы ничего не понимаете кому нужен джон если нужен был с посещением более 50000 его бы уже взломали тема ясна защита от дос если никто не может добавить умную мысль зачем обсуждать неся бред да я с вас тощюсь!!!

AlkatraZ(21.06.2010/17:29)
Цитата:{Megakoder (21.06.2010/17:22)
Вам же говорят создаем защиту а не ломаем и показываем примеры тем более речь о безопасности а не о взломах}-Ответ:Поверь, практически все известные методы борьбы анализировались и нектороые, которые были признаны эффективными - применяются.

Я не спорю, если каким-то пакетом можно вывести со строя связку Apache-PHP это плохо, но это уже уязвимость в самом РНР, или Apache.
Мы как кодеры с этим уже ничего не можем поделать, остается только ждать официального патча...

MAXIMUM(21.06.2010/17:31)
Megakoder,  JohnCMS просто не нуждается. Это тебе не DCMS который нужно постоянно клепать. Вот и всё

AlkatraZ(21.06.2010/17:31)
Цитата:{Megakoder (21.06.2010/17:29)
Слушайте я смотрю вы ничего не понимаете кому нужен джон если нужен был с посещением более 50000 его бы уже взломали тема ясна защита от дос если никто не может добавить умную мысль зачем обсуждать не}-Ответ:А вот этот твой пост я не понял :ул:
Ты что, сам с собой разговариваешь.

Попробуй спокойно и ПОНЯТНО еще раз объяснить.
На других не смотри, я тебя слушаю

AlkatraZ(21.06.2010/17:34)
Одно правда я понял, что автор пытается до нас довести.
Большое спасибо за сигнал, косяк заметил, сегодня исправлю.
Точнее, заменю алгоритм фиксации гостей

Megakoder(21.06.2010/17:41)
Есть один хороший кодер вернее крекер он часто бывает на visаvi.net я не говорю что супер кодер просто уже надоело менять движки 18-19 visаvi.net был атакован дцмс тоже теперь что столько трудов вложить в джона и все напрасно нет нужно как то это решать что нужно для работы ХОСТИНГ я дам причем ПЛАТНЫЙ место тоже дам что говорите???

AlkatraZ(21.06.2010/17:45)
Слушай, ты давай не путай.
Уязвимости - это одно, Флуд - другое.
И с тем и с другим бороться можно.
А вот ДОС атака - с этим уже ничего не поделаешь без хостера 9точнее с серьезными атаками).
----
потому, скажи подробнее, ПРО ЧТО ты говоришь, что имеешь ввиду?
Хватит паниковать, пиши по делу, если конечно есть, что сказать.

Максим(21.06.2010/17:56)
[b][red]Автор, ты какой-то странный. Ты научись выражаться нормально. Из всего тобой написанного я ниасилил нихрена. Сначала говоришь об одном, потом о совсем другом.
Опиши суть проблемы НОРМАЛЬНО![/red][/b]

AlkatraZ(21.06.2010/17:57)
Цитата:{Максим (21.06.2010/17:56)
Автор, ты какой-то странный. Ты научись выражаться нормально. Из всего тобой написанного я ниасилил нихрена. Сначала говоришь об одном, потом о совсем другом.Опиши суть проблемы НОРМАЛЬНО!}-Ответ:Именно, я тоже нифига ниасилил.
Бегает ф панике, АХТУНГ, ГАЛАКТЕКО АПАСНОСТЕ, а конкретного ничего не говорит.

Иманов, ты чтоли?

Bordo(21.06.2010/17:57)
Интересно, а сам то автор понимает о чем пишет ))))

als(21.06.2010/17:58)
Цитата:{AlkatraZ (21.06.2010/17:57)
Именно, я тоже нифига ниасилил.Бегает ф панике, АХТУНГ, ГАЛАКТЕКО АПАСНОСТЕ, а конкретного ничего не говорит.Иманов, ты чтоли?}-Ответ::зар: Иманов вернулся ужс! Ты же сказал всё исправишь у гостей крой тему,а то щяс колесо изобретёт афтор гг

Максим(21.06.2010/18:00)
Придержите коней, а то автор не увидит мой пост. Гг. Надо его выделить...

янтарик(21.06.2010/18:01)
Цитата:{AlkatraZ (21.06.2010/17:57)
Именно, я тоже нифига ниасилил.Бегает ф панике, АХТУНГ, ГАЛАКТЕКО АПАСНОСТЕ, а конкретного ничего не говорит.Иманов, ты чтоли?}-Ответ:Брат его:)место он уже даст,есть крякер...
Как по мне,чел после пары дней амфитамина попал на отходы...как то так.максима на него нет:)

AlkatraZ(21.06.2010/18:02)
Правда, в одном автору спасибо.
Каки я уже писал выше, нашел лазейку с помощью которой можно заспамить счетчик гостей онлайн. Сегодня буду исправлять, в ближайшее время выложу патч.
---
А симптомы таковы:
Сейчас, отдельный гость вычисляется по IP+UserAgent
А тот скрипт INATTACK просто перебирает в цикле Useragent, меняет в нем всего одну букву и для системы это уже новый юзер.
Сильно заспамить конечно не получится. ибо сработает HTTP Antiflood, но все равно, чтоб такое в принципе было невозможно, придется менять алгоритм подсчета.
---
А вот тут. придется подумать, ибо просто по ID сессии тоже не прокатит.

Megakoder(21.06.2010/18:09)
Кратко скажу да я неосмыслено сказал вопрос как защитить от постоянных запросов с разных айпи смысл такой я точно не знаю как но после таких запросов появляется в бд эта таблица `go_img` что это и почему после этого при нажатии в галерее файл к примеру img.img пишет что бд недоступна и после востановления все файлы удалены и нагрузка более процесов чем положено

Megakoder(21.06.2010/18:11)
Причем разные ХОСТИНГИ разные движки объясните как это может быть вот мой смысл если не поняли давайте по очередно раскажу!

янтарик(21.06.2010/18:16)
Цитата:{Megakoder (21.06.2010/18:09)
Кратко скажу да я неосмыслено сказал вопрос как защитить от постоянных запросов с разных айпи смысл такой я точно не знаю как но после таких запросов появляется в бд эта таблица `go_img` что это и поч}-Ответ:Подробнее.о каких запросах речь то?запросе скриптом страницы?так от этого только в голове может таблица произойти.

Максим(21.06.2010/18:17)
Таблица в базе ну никак не может появиться без использования скрипта который её создаст...

AlkatraZ(21.06.2010/18:18)
Ну, во первых, если не ставил никакие дополнительные модули, и используешь нормальный хостинг, то подобная ситуация, чтоб появилась левая таблица, в принципе невозможна.
Если конечно что-то не придумали из области уязвимости самого РНР и Apache

В двиге все фильтруется, каталоги с выгружаемыми файлами прикрыты .htaccess на нормальном хостинге, даже если ты напрямую зальешь туда РНР файл, запустить его не удастся, он будет выводиться как простой текст.

янтарик(21.06.2010/18:21)
Цитата:{AlkatraZ (21.06.2010/18:18)
Ну, во первых, если не ставил никакие дополнительные модули, и используешь нормальный хостинг, то подобная ситуация, чтоб появилась левая таблица, в принципе невозможна.Если конечно что-то не придумал}-Ответ:Возможно он че то где то читал и недопонял:)го имг создается в поле усер-если только на базе хостера для отображения статистики.единственный вариант могу только такой придумать:)но при каких делах тут галерея...осенило человека:)табуреткой:)

Megakoder(21.06.2010/18:22)
Ну за скрипт скажу он шлет постоянные запросы но одно есть код который из 1000 обычных запросов один при пропуске его в бд он делает запрос на айпи тех юзеров что в онлайн после этого если код пропустился в базу делает запрос на данные айпи юзеров как бы Грабер вот когда это все осуществить автоматом забивает базу ложными айпишниками короче 3 юзер агента онлайн более 1000 если в скрипт внести более 1000 именно юзер агентов вот тогда будет опасность перегруза сервера вот по этому я задал такой вопрос и создал тему может я и не точно описал но смысл на лицо!!!

янтарик(21.06.2010/18:28)
Цитата:{Megakoder (21.06.2010/18:22)
Ну за скрипт скажу он шлет постоянные запросы но одно есть код который из 1000 обычных запросов один при пропуске его в бд он делает запрос на айпи тех юзеров что в онлайн после этого если код пропуст}-Ответ:Слышь,я щас лично сделаю запрос.в дурку.выпускали ли митников или гейцов в последнее время...

Megakoder(21.06.2010/18:30)
Еще скажу вам на ваш вопрос как может?+ просто еслибы я ощупал этот скрипт я бы знал в чем причина одно ни могу понять даже без бд можно запускать dеlеtе из загруженых файлах еслиб я знал я бы не спрашивал все возможные способы у вас какойто идиот достал постоянно сносит сайты мои и моих друзей короче кто поможет с защитой или анти как бы сказать защитой заплачу или дам ПЛАТНЫЙ ХОСТИНГ!!!

Megakoder(21.06.2010/18:34)
Да еще просьба не гнать просто помочь я заплачу!!!

Максим(21.06.2010/18:34)
Гг. Автор, извини конечно, но или я сегодня не в духе или устал, но я всё равно не могу осилить твои посты. Предыдущий ещё осилил, но последний это вообще жесть. Свяжи этот набор слов. ))
если хочешь могу примерно сделать набросок нормального предложения из твоего.

Megakoder(21.06.2010/18:37)
Да вот Думаю чем страдать херней может скриптик какой нибудь сделать !!!

янтарик(21.06.2010/18:39)
Цитата:{Megakoder (21.06.2010/18:30)
Еще скажу вам на ваш вопрос как может?+ просто еслибы я ощупал этот скрипт я бы знал в чем причина одно ни могу понять даже без бд можно запускать dеlеtе из загруженых файлах еслиб я знал я бы не спра}-Ответ:Перечисли хосты твоих друзей и свой.также скажи откуда брали вы сам джон и модули к нему.
К досске взлом ваших сайтов не имеет никаких отношений.если это не касается досса вашего хостера с последующими манипуляциями для получения лог файлов или еще чего.

Megakoder(21.06.2010/18:40)
Короче кройте тему я на visavi уже кодера нанял всё потом напишу в чем причина говорят это какойто вирус brеx он в самом апачи извиняюсь за тупые вопросы!!!

Максим(21.06.2010/18:42)
Гг. Иманов, ты запарил хрень морозить. :еблан:
Ты хоть сам понимаешь что пишешь? Это ж ужжоссс.

Megakoder(21.06.2010/18:43)
ХОМЯК by.ru zenon.net host.ru swеb.ru короче надо хостера менять там нет защиты от дос

Максим(21.06.2010/18:46)
Диагноз:
Полное отсутствие понимания основных понятий типа DDOS и прочего.
Соответственно отсюда вытекает отсутствие связи предложений. Ладно, думаю обсуждать вернее топтаться на одном месте хватит. Тема закрыта.