Nechcete někdo hacknout moje stránky?

11.11.2006 18:41 | Přečteno: 6332× | Normální život | poslední úprava: 12.11.2006 14:01

Myslím to naprosto vážně Pokud byste měl někdo chuť, směle do toho.

Před nevím kolika lety jsem si udělal stránečky na adrese otakar.kvalitne.cz. Nalézají se na serveru webzdarma.cz. Učil jsem se na nich psát www stránky, a postupně jsem tam přidával i různé informace, převážně k Linuxu, abych je nemusel zase hledat, až je budu potřebovat, a také, abych případně pomohl jiným.

Z historických důvodů nejsou v databázi, ale v souborech, pomocí include vkládaných do php kostry – přiznávám, že to byla lenost, která mi bránila v přesunu do databáze ale také nedostatek času. Jenže problém nastal před pár měsíci, kdy se mi najednou nepodařilo přihlásit přes ftp. Zkusil jsem se k účtu přihlásit přes webové rozhraní, abych se dozvěděl, že účet neexistuje. Přitom stránky byly stále funkční, takže reálně účet existoval a stále existuje.

Napsal jsem e-mail na podporu serveru wz.cz, ale nedostalo se mi odpovědi, ani žádné akce. Asi po měsící jsem opět posílal e-mail – opět nic! Totální ignorace!

Aspoň jsem do své knihy hostů napsal velký příspěvek (aspoň něco bylo ukládáno v databázi ), aby byli návštěvníci seznámeni s problémem. Jenže nedávno byly na wz.cz provedeny nějaké technické změny, takže už se mi ani neincludují ty články do kostry, takže zbylo jen menu a místo článků chybové hlášky…

Pokud by se někdo chtěl pobavit hacknutím těchto stránek, budu rád, když se tam objeví informace o aroganci podpory serveru wz.cz

Nakonec údaje:

• přihlašuje se k serveru ftp://otakar.kvalitne.cz
• uživatelské jméno je taktéž otakar.kvalitne.cz
• heslo: uqqwqu

Pokus o připojení vypadá takhle (heslo zadávám určitě správné)

$ ftp otakar.kvalitne.cz
Connected to otakar.kvalitne.cz.
220 ftp server ready
Name (otakar.kvalitne.cz:ota): otakar.kvalitne.cz
331 Password required for otakar.kvalitne.cz.
Password:
530 Login incorrect.
Login failed.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>

       

Komentáře

[blogsm]

Vskutku špatné heslo

[otula]

No, heslo jsem sem nedával, protože si nejsem docela jistý, kde všude jsem ho použil (no jo, už to slyším: má se používat všude jiné)

[andree]

ma se pouzivat vsude jine :-B (nieze by som to robil...)

[David Watzke]

Jak ti mám asi hacknout stránky, když neznám jeden ze základních údajů - heslo

[freshmouse]

To mi připomíná mistra Mozek tě vidí, co napsal první komentář. To ja taky HACKER.

[blogsm]

Mistra? Oh, děkuji

[David Watzke]

Ano, mistra, který ani nenainstaluje Fedoru

[blogsm]

Ale snaží se. A teď to zkouší s Ubuntu

[Peek]

Asi tak že si to heslo zjištíš lamko zkus wwwhack a nebo si najdi na google navod kdyz chces hackovat musis se snazit

[Luboš Doležel (Doli)]

$ ftp otokar.kvalitne.cz
Connected to otokar.kvalitne.cz (195.122.194.233).
421 Login Timeout (25 seconds): closing control connection.

What the hell? Tohle se ukázalo hned, ne po 25 sekundách.

[Libor Klepac]

a uz ho mas ...

[otula]

Nemám otokar.kvalitne.cz, ale otakar.kvalitne.cz - pokud jsi to sem neopisoval s překlepy, tak ses připojoval jinam

[Luboš Doležel (Doli)]

Je to ten samý server.

[vencour]

Že by změna?

ftp otakar.kvalitne.cz
Connected to otakar.kvalitne.cz.
220 ftp server ready
500 AUTH not understood
Name (otakar.kvalitne.cz:user): otakar.kvalitne.cz
331 Password required for otakar.kvalitne.cz.
Password:

a další

$ telnet otakar.kvalitne.cz 21
Trying 195.122.194.233...
Connected to otakar.kvalitne.cz (195.122.194.233).
Escape character is '^]'.
220 ftp server ready

[otula]

No, tak dobře. To heslo je

uqqwqu

Tak jsem si ho všude poměnil Ono se to tváří, že všechno funguje, jen je heslo špatné, ale jak jsem psal – když se pokusím přihlásit přes webové rozhraní, napíše to, že účet neexistuje

[freshmouse]

Takové heslo nechápu. Je tam 3* q, 2* u a 1* w. To už raději něco ve stylu "karel" -- to se alespoň lépe pamatueje.

[otula]

To heslo je velmi jednoduché a logické. Můžeš to brát jako kvíz (není to ledabylý shluk písmen)

[ich]

prvni!

[anicka]

A nechces si to spis hacknout sam (znas to, co si neudelas sam, to nemas)?

Nevim, co delas s textem z formulare toho guestbooku, o kterem pises, po vlozeni, a na hrani nemam cas, ale sam vis nejlip, jestli vstup z formulare kontrolujes na tolik peclive, aby tam nesel procpat nejaky php kod

Myslim, ze naslepo se nikomu nebude chtit se s tim patlat, ale kdyz ukazes lidu patricny kus zdrojaku, treba Ti nekdo ukaze nejakou chybu a poradi, jak ji vyuzit ...a pak uz si tam muzes treba procpat treba phpfilemanager a delat, co Te napadne

[otula]

Kód toho guestbooku vypadá takhle:

http://otakar.kvalitne.cz/new/guestbook/index.txt, přidání bylo realizováno takhle: http://otakar.kvalitne.cz/new/guestbook/pridat.txt

Prosím, žádnou kritiku Tehdy jsem byl šťastný, že mi to vůbec funguje. Není to ani xhtml validní, a dnes už mám i funkčnost vyřešenu úplně jinak…

[Sinuhet]

Dokud nezakazali includovani pres http, tak s tim sli delat divy. Ale takhle maximalne cross site scripting. Mimochodem, zda se, ze se vam v tom uz nekdo hrabal, obcas to z cache vytahne zajimave stranky.

[otula]

No, to byl můj první pokus o guestbook Jak jsem psal v blogu, učil jsem se na tom. To používání txt souborů je určitě prasárna, ale ještě větší prasárna je to, co dělá (dělalo) wz.cz se všemi skripty. Do KAŽDÉHO skriptu narve reklamu. (Když jsem zkusil spustit na wz.cz např. phpbb fórum, tak se úplně sesypalo, protože to, co z něj zbylo, už s původními skripty moc společného nemělo). Takže jedinými soubory s koncovkou php byla vlastní kostra a config.inc.php Vše ostatní jsem cpal do souborů s jinými koncovkami.

[Roman]

Zkuste jeste prudit technickou podporu - do cronu 1 mail denne a oni se casem ozvou.

[thingie]

Jeden mail denně, občane, slyšel jste už slovo spam? Tohle je frekvence, která opravdu dožene každého až k…

[Roman]

To neni spam - pokud nekdo dela mrtveho bouka, tak mu poslu dotaz a pak kazdy den dotaz, kdy na dotaz odpovi + pridam obavu, zda se mu neco nestalo. Na hruby pytel hruba zaplata.

[blogsm]

To je nápad ta obava. Zrovna posílám už 4tej mail mému de*ilnímu ISP. A pořád nic. Tak to pro jistotu posílám na všechny jeho maily

[otula]

To není špatný nápad

[Miloslav Ponkrác]

Já bych chtěl apelovat, nedávejte prosím nic na stránky wz.cz. Jednak se stránky na této adrese šíleně ztrácejí, velmi často odkazy na tyto stránky končí 404 stránkou v okamžiku, kdy jsem očekával zajímavý obsah. Asi to šíleně promazávají. Tudíž chcete-li podat zajímavé informace o Linuxu či jiném a chcete, aby si to někdo přečetl i později, nedávejte to na wz.cz, kde má hodně stránek jepičí životnost.

Navíc přidám i svou zkušenost, chtěl jsem kdysi udělat stránky o programování, kde jsem chtěl přidat výběr z manuálů a dalších věcí co jsem napsal. Založil jsem tedy konto na wz.cz a podle jejích podmínek mám týden na to, abych vytvořil obsah jinak to smažou. Nestihl jsem tam dát nic, ten den jsem nahrál manuály a zítra ráno další den, když jsem chtěl pokračovat byly stránky smazány a konto zrušeno. Možná je poděsil můj manuál o CVS, který tam byl, nevím. Tímto samozřejmě provozovatelům wz.cz děkuji, že mi dali najevo včas, že to tam dlouho nezůstane a nenutili mě do zbytečné práce, která by přišla později vniveč.

Takže znovu apeluji, máte-li co říci, a máte zajímavé informace, nedávejte je na wz.cz, kde zanedlouho většina z nich zmizí. Prosím, dejte je jinam, třeba na docs.linux.cz, na abclinuxu.cz, na root.cz, někam prostě, kde to zůstane. Děkuji Vám.

[kolmis]

Měl jsem stránky v doméně .euweb.cz, taky od webzdarma.cz. Jednoho dne (tak 3/4 roku zpátky) jsem zjistil, že heslo nefunguje. Nové heslo jsem pořídil tak, že jsem si na webzdarma znovu zaregistroval stránky se stejnou adresou a doménou (stránky stále jely!) :). Příhlášení pak fungovalo, obsah adresáře zůstal...

[otula]

Tak jsem to teď chtěl zkusit, a buď jste mě někdo předběhnul nebo to v mém případě nefunguje