Archyvas: hacking - Jonas Lekevičius

Žudyk Internet Explorer — Mano Pirmasis WordPress Widget

Viena iš įdomesnių technologijų, kurias naudoju savo naująjame dizaine, yra Cufon — JavaScript biblioteka, kuri per HTML Canvas gali atvaizduoti šriftus, kurie nėra instaliuoti vartotojo kompiuteryje. Žinoma, viskas veikia puikiai visur, išskyrus sumautą Internet Explorer, kuris nuorodas Canvas erdvėje supranta kitaip, nei visos naršyklės. Cufon autoriams pavyko padaryti, kad nurodos veiktų, tačiau jos veikia prasčiau, nei kitose naršyklėse. Tai tik vienas pavyzdys labai aiškaus fakto — net ir pati naujausia Internet Explorer versija yra myliomis atsilikusi nuo kitų naršyklių. Internet Explorer stabdo viso interneto progresą nepalaikydamas HTML5, CSS 3 (ir net kai ko iš CSS 2) ir taip toliau. Alternatyvų yra, jos nemokamos, greitesnės, geresnės. Bet reikia dar šimtas aštuoniasdešimtseptiną kartą priminti IE vartotojams, kad jie turėtų migruoti į normalią naršyklę.

Todėl sukūriau šį paprastą WordPress widget „Žudyk Internet Explorer“.

Instaliacija

Parsisiųsk „Žudyk Internet Explorer“ (v1.0)

Eik į WordPress administravimo pultą
Plugins → Add New → Upload
Įkelk šį .zip
Aktyvuok plugin’ą
Eik Appearance → Widgets
Nutempk Žudyk Internet Explorer į norimą šoninę juostą (žinoma, tavo puslapio dizainas turi palaikyti Widgets funkciją)
Widget’o nustatymuose pasirink savo mėgstamiausią naršyklę ir spausk Save
Viskas! Internet Explorer vartotojai matys mygtuką, kuris kviečia juos pasikeisti naršyklę.

Mygtukai

Štai kaip atrodo tie mygtukai:

Mygtukų dydis 125px × 40px, tad jie turėtų puikiai tikti prie 125px × 125px skydelių. Beje, jei nori, mygtukus gali naudoti ir atskirai, nebūtinai su WordPress. Plugin’ui galioja GPL 2 licencija.

Demo

Gyvai veikiantį pluginą gali pamatyti mano puslapyje, atsidaręs jį su Internet Explorer (bet kuria versija).

Kodas

Internet Explorer atpažįstamas viena paprasta PHP eilute, kuri gali būti naudinga ne tik šiuo atveju:

1	if (preg_match('/MSIE/i',$_SERVER['HTTP_USER_AGENT'])) { /* Mato tik IE */ }

Kaip jums šis widget? Kas nors planuojate naudoti? Turite kokių nors pastebėjimų, kritikos ar keiksmų (IE pusėn)? Nuomonių laukiu komentaruose (:

7 nuomonės

Draugas.lt saugumo pažeidimai

Ilgai nerašiau, bet… pasiruošimas egzaminams, egzaminai ir vasara + inercija neberašyti. Apie viską vėliau, bet jau greitai.

Iš tiesų noriu parašyti apie vieną LABAI GRUBŲ saugumo pažeidimą draugas.lt puslapyje. Anksčiau jį gyriau lygindmas su one.lt, ir funkcionalumo, patogumo bei kainos aspektais jis tikrai lenkia vuonę. Bet šitas atradimas rodo, kad jie dėjo ant vartotojų ir nesirūpina jų saugumu. Tad kas gi čia tokio nutiko? Štai kokį laišką iš jų gavau:

Draugas2

Laiške prie visų kitų gėrybių buvo mano slaptažodis. Tiesiog užrašytas. Šiaip visos sistemos (net mano pačio programuotos) slaptažodį užkoduoja registracijos metu (prieš tai išsiunčia vienintelį laišką su dar neužkoduotu slaptažodiu) ir vėliau jo neįmanoma atkoduoti. Vartotojo prisijungimo metu jo įvestas slaptažodis užkoduojamas tuo pačiu metodu ir jei registracijos ir bei įvestojo slaptažodžio užkodavimo rezultatai sutampa, vadinasi, slaptažodis įvestas teisingai.

Tuo tarpu draugas.lt man atsiųsdamas tokį laišką aiškiai parodė, kad jie slaptažodžių nekoduoja. Tai yra GRUBUS saugumo pažeidimas. Štai kodėl:

Draugas.lt administratoriai gali ramiai nueiti į duomenų bazę, pasiknaisioti po neužkoduotus vartotojų slaptažodžius, tuomet pabandyti, ar jie veikia. Dauguma žmonių visur naudoja tuo pačius slaptažodžius (aš pats naudoju vos kokius 5 skirtingus), taigi jie gali prisijungti prie daaaugybės elektroninio pašto dėžučių. Not fun at all!
Jeigu kokiam nors hakeriui pavyktų įsilaužti į duomenų bazę, jam nereikėtų vargti dienas ar mėnesius siekiant iškoduoti slaptažodius — viskas jam būtų gražiai pateikta ant lėkštutės ir paruošta greitam vartojimui.
Nesinori apie tai galvoti, bet… vartotojų duomenų pardavimai? Oh my.

Gali nebandyti iššifruoti tų sujauktų raidelių, aš jau pasikeičiau slaptažodį ir išsitryniau draugas.lt anketą. LABAI rekomenduoju tau daryti tą patį. Po anketos ištrynimo jie klausia priežasties — būtų puiku, jei į laukelį įrašytum nuorodą į šį straipsnį. Jie turi suprasti, atsiprašyti, užkoduoti slaptažodžius, pakeisti sistemą, o tada saugumo žinovai turėtų patikrinti, ar jie tikrai viską padarė, kaip buvo prašyti.

Kas blogiausia — aš nežinau, ar kai pasikeičiau slaptažodį, jie kur nors neišsisaugojo mano seno, o kai ištryniau anketą, nesu tikras, ar ji tikrai ištrinta. Juk šito nepatikrinsi neįlindęs į duomenų bazę.

Jei turite draugų, kurie užsiregistravę tame puslapyje, persiųskite jiems šitą įrašą.

Žodžiu. Labai, labai negerai, drauge.lt. Beje, šį tinklaraščio įrašą nusiųsiu draugas.lt administracijai, tikiuosi jie galės ką nors pakomentuoti.

Draugas.lt atsakė:

Susipazinom su jusu pastabomis. Deja turime pripazinti, kad jos visiskai
teisingos. Tiesos delei noretume pazymeti, kad per 8 darbo metus nebuvo,
nera ir tikrai nebus atveju, kad administruojantys zmones galetu nutekinti
informacija apie vartotoju slaptazodzius, nes su sia informacija dirba vos
pora laiko patikrintu, visiskai patikimu ir 100% kompanijai lojaliu
darbuotoju. Zinoma, visada islieka teorine isilauzimo i svetaine galimybe,
bet si saugumo klausima sekmingai sprendzia musu hostingo paslaugu tiekejai
(nei vienas is gausybes bandymu isilauzti i svetaine per minetus 8 metus
nebuvo sekmingas).

Neziurint i mano minimus argumentus mes imones viduje butinai svarstysime
jusu issakytas pastabas ir bandysime spresti jusu ivardintas problemas.
Tikimes supratimo, jog tai ne vienos dienos darbas, todel pilnam problemos
sprendimui konkretaus termino ivardinti nenoretume.

Dar karta dekojame uz teisingas pastabas ir labai pasistengsime pateisinti
gera savo imones varda.

7 nuomonės

Laužiam bibliotekos kompą

Žmonės, nusistatę prieš hakerius arba mokantys baudžiamąjį kodeksą atmintinai gali šito neskaityti. Nors man pačiam nepavyko sugalvoti, kokią nusikaltamą veiklą vykdytum, atlikinėdamas toliau aprašytus veiksmus.

Įžanga

Bibliotekose galima naršyti internete. Ir ne tik ten – tas pats ir tavo mokyklos kompe, jei dar tokią lankai. Problema tame, kad ten tu esi svečio teisėmis. O jei tave knisa Internet Explorer ir nori Firefox? Įsidiegti nieko negalėsi – tą padaryti gali tik administratoriai. Žinoma, tai labai praktinis šito hack’o panaudojimas. Bet nereikia pamiršti ir to, kad tą daryti gali būti tiesiog smagu.

Kitais žodžiai tariant, šitas įrašas išmokys tave vieno – kaip per dvi minutes patapti bet kokio windausinio kompo adminu.

Pradedam

Pasileisk Command Prompt – visagalį langinių tvarkytoją. Tą padaryti gali paspaudęs mygtuką su Windows langu ir R vienu metu. Įvesk komandą

cmd

ir spausk enter. Iššoks juodas langelis, kuris ir bus tas Command Prompt’as.

Toliau reikia suvesti ypatingą komandą, kuri tau suteiks SYSTEM (vartotojo, galingesnio net už patį admin) teises. Komanda atrodo taip:

1	at HH:MM /interactive "cmd.exe"

Kur HH – dabartinės valandos, kaip jas rodo laužiamas kompas, MM – dabartinės minutės + 1. Ši komanda atlieka tokią funkciją – nustatytu laiku (t.y. po minutės) iškviečia dar vieną Command Prompt’ą, tik šįkart tą prompt’ą valdys SYSTEM vartotojas.

Toliau turi išjungti explorer.exe. Tą gali padaryti paspaudęs mylimą mygtukų derinį Ctrl+Alt+Delete, nuėjęs į Processes, pasirinkęs explorer.exe ir paspaudęs End Process. Išnyks visi folderių langai ir start meniu. Nepanikuok. Dabar vėl sugrįžk į tą SYSTEM vartotojo valdomą konsolę (tipo Command Prompt) ir surink komandą explorer. Viskas vėl įsijungs. Tačiau jei kompas naudojo kažkokią nestandartinę aplinką (ne mėlynas juostas ir raudonus iksiukus kampe), tave gali pastebėti, nes aplinka nusistatys pagal pradinius nustatymus.

Dabar paspausk Start meniu ir pažvelk, koks vartotojas užrašytas – ten bus SYSTEM. Gali drąsiai eiti į Control Panel ir susikurti sau administratoriaus vartotoją, tada atsijungti ir vėl prisijungti naujuoju vartotoju.

Štai ir viskas. Tu patapai kompo adminu. Tai labai greita ir paprasta procedūra, trunkanti vos dvi minutes. Sėkmės {:

16 nuomonės