15 Responses to “Idei mai putin constructive (sau…?)”

1. Cristi Says:
   February 22nd, 2011 at 5:52 am

   Esti genial de malefic )
   Ce nu inteleg eu e cum te folosesti la asta la forgot password? Daca nu are pastrat userul ‘admin’, mai poti face ceva?
   Eventual doar daca sunt inregistrarile deschise, faci un cont, iar apoi incepi sa dai sa genereze parola noua in nestire. Am testat acum, rudimentar insa (manual) si m-a lasat de peste 10 ori sa dau regenerare parola intr-un timp relativ scurt (click pe ok – apoi back -> si relut “procedeul”). Imi e lene sa ma uit prin cod acum sa vad daca au vreo protectie, desi mi s-ar parea stupid sa nu o aiba. Totusi, 10 regenerari de la acelasi IP e mult…

2. 2fingers Says:
   February 22nd, 2011 at 7:07 am

   By default WordPress te lasa sa resetezi parola ori de cate ori vrei. In cazul in care nu exista userul admin incerci ori cu adresa de mail a adminului (daca o stii), ori te apuci sa incerci cateva chestii gen numele adminului, nickname de pe blog etc.

3. gupi Says:
   February 22nd, 2011 at 7:42 am

   2fingers, o mare parte a furnizorilor de hosting folosesc suPHP sau fCGI. Asta inseamna ca fiecare site ruleaza cu userul sau, nu cu userul generic apache sau nobody.
   Ei, cel putin in cPanel poti seta limite bine definite la numarul de emailuri trimise pe ora de un domeniu (user), astfel incat e posibil ca script-urile tale sa declanseze niste alarme mai repede decat crezi.
   In rest, vad ideea ta ca o binecuvantare pentru hosteri: “dom’le, nu stiu ce ai la blog, dar nu mai putem continua asa, cu o gramada de emailuri pe ora si procesorul in blana. Iti recomand sa treci la VPS!”

4. 2fingers Says:
   February 22nd, 2011 at 8:02 am

   Foarte adevarat. Insa am vazut destul de des niste cazuri exact ca in exemplul tau.

5. Mihai Maruseac Says:
   February 22nd, 2011 at 8:43 am

   Dacă are activat Akismet și blacklist-ează aproape toate cuvintele sau setează ca nici un comentariu să nu apară până nu e aprobat explicit atunci nu merge deloc treaba cu comentariile. M-am confruntat eu cu un val de comentarii (100 în 5 minute) acum 2-3 ani și așa am scăpat de probleme.

6. dt Says:
   February 22nd, 2011 at 8:45 am

   asa cum zice Gupi, exista limitari la numarul de mailuri trimise pe ora (chiar si la mod_php). exista un firewall dragut pe nume csf care taie raul de la radacina: blocheaza accesul la director daca se trimit prea multe mailuri printr-un script de acolo.
   pe de alta parte WP nu verifica adresa de mail cu care te-ai abonat la comentarii ceea ce poate duce la alte probleme (ex te abonezi cu adrese gresite de yahoo,  adresa serverului e blacklisted imediat)

7. 2fingers Says:
   February 22nd, 2011 at 9:04 am

   @Mihai – Akismet nu este o problema atat e mare. Faptul ca trebuiesc aprobate comentariile este in schimb o problema.

   @dt – ideea se bazeaza pe faptul ca in general firmele de hosting astea mai de doi lei vor sa evite orice probleme si prefera sa scape de anumiti clienti decat sa le fie stresate serverele. Exact cum se intampla daca cineva ataca puternic un domeniu si anunta firma de hosting ca ii da la temelie pana ii suspenda hostingul lui X.

   Acum cine stie, poate nu o fi dracu atat de negru, insa din experienta presimt ca din 20 de potentiale victime macar una tot o pateste.

8. CSSensei Says:
   February 22nd, 2011 at 8:55 pm

   Eu pot sa zic ca ideea asta merge 95% sigur pe joomla. Incerc si cu wordpress in curand si va tin la curent.

9. bampi Says:
   February 23rd, 2011 at 10:53 am

   nu cred ca are mare legatura cms-ul pe care incerci sa-l exploatezi; asa cum se amintea mai sus, pe hosting shared exista limita de mailuri / ora / domeniu sau cont, exista limitari din php, din firewall si asa mai departe. Anyway, interesanta ideea ta

10. Eugen Says:
    February 23rd, 2011 at 8:07 pm

    Din propria experiență pot spune că WordPress plain este relativ complicat de “stricat”. Găurile de securitate sunt descoperite și acoperite destul de repede, cel puțin suficient de rapid încât să nu ai timp să faci daune semnificative la scară largă.
    Dar adaugă în ecuația asta pluginuri codate cu picioarele, cum din păcate sunt o mulțime în directorul WordPress.org, și elementul uman numit blogger și vei găsi destul de multe posibilități. În situația descrisă de tine aș aborda puțin altfel situația, cel puțin în .ro. Aș face rost de o listă de mailuri de bloagheri, mai am una cât de cât actualizată din vremea blogoree.ro, aș crea o listă de distribuție și le-aș trimite comentarii sau articolele noi de la un bloagher semi-anonim. Nu o să ai partea de hack-ing, dar știind prea bine cum se comportă bloagherul românaș, o să ai parte de distracție când vor începe să-și scoată ochii.
    Vorbind doar de hacking exclusiv la un moment dat aveam obiceiul să “uit” un shell script prin folderele din wp-content/uploads denumit index.php care nu este suprascris la actualizarea WordPress. Am fost și eu surprins cât de repede s-au conformat clienții răi platnici când s-au trezit cu bloagele cu un minunat ecran negru și redirectat total către index.html.

11. 2fingers Says:
    February 23rd, 2011 at 10:50 pm

    Bad bad bad Eugen.

    Spune-mi sincer. Nu iti lipseste prietenul Vasile Manu?

12. un baiat Says:
    February 24th, 2011 at 12:29 pm

    dar daca te folosesti de SE si ii trimiti un plugin care pune o iconita de twitter? si mai trimite si niste mailuri gen

13. Eugen Says:
    February 24th, 2011 at 12:31 pm

    @2fingers
    Măi, de Vasile Manu ăla pe care l-am cunoscut acum 3-4 ani, nu! Oricum între timp tipul s-a mai cizelat, a învățat când să tacă din gură și îmi place să cred că într-o mică parte am avut și eu partea mea de contribuție la această schimbare.

14. ksound Says:
    February 24th, 2011 at 4:24 pm

    Merge chestia relativ cu Opera, o setezi sa faca refresh la pagina la o secunda si trimite formularul automat.

15. bampi Says:
    February 24th, 2011 at 7:18 pm

    merge si cu firefox, exista pluginuri de autorefresh, si cred ca sunt extensii si pentru chrome… nu asta e problema, cum ziceam pe shared in general sunt limite 300,500 mails/ora, etc. Chiar si asa, contul se suspenda temporar, se investigheaza, se blocheaza ip-ul sau ip-urile care au facut asta si cel mai probabil contul va fi activ la loc… evident, daca insisti s-ar putea sa il suspende de tot la un moment dat (asta in ideea ca ai boala p-ala si vrei sa-i faci rau, ca altfel omul saracul poate fi total nevinovat si habar nu are de unde i se trage)

Leave a Reply