» Tutorials

Cum sa iti protejezi adresa e-mail si datele confidentiale din aceasta

2fingers — Thu, 14 Apr 2011 20:42:02 +0000

Aceste explicatii sunt adresate mai ales utilizatorilor Yahoo! mail. Aprob si incurajez preluarea si modificarea acestui articol chiar si fara a se preciza sursa (blog.rstcenter.com), sau autorul (2fingers), atata timp cat informatia nu sufera modificari drastice ce duc la concluzii si sfaturi eronate.

Cel mai important sfat: Nu va tineti datele importante pe mail decat daca este strict necesar. Datele sensibile nu se tin pe servicii de mail publice si gratuite (Yahoo, Gmail, Hotmail etc).

Lista de sfaturi continua aici:

1. Alegeti o parola greu de ghicit ce contine macar o cifra si/sau o litera mare, pe care sa o schimbati la un interval de cateva luni.

2. Raspunsurile la intrebarile secrete nu trebuie sa fie cele reale si nici usor de intuit. Oricine poate afla cu mai mult sau mai putina munca cum o cheama pe pisica voastra sau ce masina conduceti.

3. Cand vi se ofera optiunea de recuperare a parolei prin intermediul unui numar de telefon folositi-va de aceasta. Yahoo si Gmail spre exemplu au aceasta optiune.

4. Setati-va ca adresa alternativa de mail un alt cont, cu o alta parola, cu alte intrebari secrete si alte raspunsuri, ce nu expira daca nu este accesat o perioada indelungata de timp si pe care sa il accesati doar in cazuri extreme.

5. NICIODATA, dar absolut NICIODATA, nu va inregistrati conturile importante pe adresa de mail folosita pentru discutiile pe Yahoo! messenger/msn messenger/Gtalk sau care este facuta publica pe internet. Adresa de mail in care tineti datele confidentiale nu trebuie sa fie la indemana oricui, iar aici vorbesc despre a va tine secreta respectiva adresa atat de ochii cunostintelor cat si ai necunoscutilor.

6. In cazul in care un cont a fost afectat si parola a fost schimbata nu folositi aceleasi pc-uri de la care v-ati logat in ultima perioada pentru a recupera contul. Daca acel pc este virusat si contine un program de tip spyware o sa ramaneti si fara adresa de mail alternativa, or sa vi se afle si raspunsurile la intrebarile secrete si nici nu va veti mai recupera contul. Gasiti un pc de la care nu v-ati mai logat pentru a recupera contul, iar pe al vostru faceti un fresh install al sistemului de operare. Asta inseamna FORMATARE nu doar instalarea sistemului de operare peste cel vechi.

7. Nu dati nimanui parolele voastre. Nici macar prietenilor. Pe messenger mai ales puteti vorbi nu cu un prieten in care aveti incredere 100%, ci cu cineva care i-a furat contul prietenului si incearca sa afle si datele contului vostru.

8. Nu raspundeti la intrebari dubioase de tipul “cum o cheama pe invatatoarea ta din generala”.

9. Nu folositi aceeasi parola la toate conturile pe care le detineti. Un cont = o parola unica.

10. Folositi serviciile de tip mailinator.com pentru a va creea conturi pe site-uri de care nu aveti cu adevarat nevoie si la care veti renunta in scurt timp.

11. Nu descarcati atasamente cu extensia exe, scr, bat, pif, com.

12. Folositi 2 browsere. Unul cu care va logati pe conturile importante si altul pentru browsing pe internet. Cel pentru browsing pe internet sa fie setat ca default browser (browser implicit), iar cel pentru conturi sa fie browser secundar.

13. Recomand sa nu dati click pe linkurile primite in mail ci sa dati click dreapta pe acestea, sa copiati linkul si sa il accesati cu un alt browser (nu in alta pagina a aceluiasi browser cu care sunteti logat pe cont ci in alt browser).

14. Intotdeauna dati “sign out” cand va terminati treaba pe contul respectiv.

15. Folositi un produs antivirus updatat la zi si browsere updatate la zi.

16. Nu descarcati programe din surse nesigure.

Daca am mai uitat ceva voi face update la acest articol in timp. Puteti lasa si voi in comentarii idei care mi-au scapat si le voi adauga aici.

Mi s-a furat id-ul de messenger/adresa e-mail. Ce sa fac?

2fingers — Thu, 14 Apr 2011 19:42:49 +0000

Aceste explicatii sunt adresate mai ales utilizatorilor Yahoo! mail. Aprob si incurajez preluarea si/sau modificarea acestui articol chiar si fara a se preciza sursa (blog.rstcenter.com), sau autorul (2fingers), atata timp cat informatia nu sufera modificari drastice ce duc la concluzii si sfaturi eronate.

Keywords (ignorati aceste cuvinte, sunt pentru motoarele de cautare): mi s-a spart parola de mail, mi s-a spart id-ul yahoo, cum recuperez mailul, cum recuperez id-ul messenger, id furat, yahoo spart, recuperare parola yahoo – gmail.

In primul si in primul rand trebuie sa tineti minte o singura chestie. Daca nu stiti raspunsurile la intrebarile secrete sau (in unele cazuri), data nasterii, zip, tara, atunci contul este pierdut. Pentru totdeauna. Nu platiti pe cineva sa va sparga propriul mail si sa il recupereze. Asa ceva nu exista in cazul serviciilor mari ca Yahoo!, Gmail, Hotmail/msn/live.com. Urmariti restul articolului si incercati aceste metode.

Incepem cu ceea ce deja stiti majoritatea. Sa spunem ca detineti toate datele necesare pentru a va recupera adresa e-mail. Dati click pe butonul “Forgot password” sau “I can’t access my account” (depinde de serviciul e-mail pe care le folositi) si completati campurile din pagina cu datele necesare pentru recuperare. In cazul in care aveti setata o adresa e-mail alternativa, folositi-o pentru a recupera parola.

La Yahoo! mail exista sansa ca cel care a schimbat parola sa schimbe si raspunsurile la intrebarile secrete. In cazul in care va aflati pe pagina cu intrebarile secrete si vedeti ca acestea au fost schimbate cautati linkul cu numele “This is not my question” si dati click pe el daca exista. In acest fel vechile intrebari vor fi activate din nou si va veti putea recupera contul.

In ultima instanta puteti suna la suportul tehnic Yahoo! in cazul in care aveti norocul de a gasi un numar la care sa si raspunda cineva. O sa va coste o mica avere conversatia de peste o ora iar sansele de a va recupera contul sunt mici.
Acum trecem la alte metode putin mai diferite.

IDENTIFICAREA HOTULUI

Imediat dupa ce realizati ca v-a fost furat contul trebuie sa luati masuri rapide. Nu amanati nici macar o zi aceste masuri pentru ca exista sansa ca acel cont sa nu mai fie accesat de catre hot si veti pierde orice sansa de a afla cine este. Nu discutati cu persoana respectiva, nu ii dati de inteles ca ati aflat de furtul contului decat dupa ce veti duce pana la capat ceea ce veti gasi in randurile de mai jos legate de ReadNotify.

Primul lucru pe care trebuie sa il faceti este sa va inscrieti la serviciile ReadNotify. Read Notify va permite sa aflati daca a fost accesat un mesaj e-mail, la ce ora, de la ce ip si cu ce browser.

Cand va inscrieti la serviciile Read Notify setati un nume total aleatoriu dar care sa para real (ex. Viorel Burcea). Trimiteti un mesaj cu un subiect care sa il atraga pe micul infractor sa deschida acel mesaj, folosind optiunea “quick send” din contul Read Notify. In continutul mailului trimis aveti grija sa scrieti ceva legat de niste poze continute in acel mesaj pentru ca Yahoo si Gmail pot bloca automat imaginile iar trackingul functioneaza exact pe principiul imaginilor accesate si este necesar sa dea click pe butonul “Show images”.
In cazul in care hotul acceseaza acel mesaj veti primi o notificare pe contul Read Notify (pagina Personal Tracking Page). In acea notificare veti gasi toate datele despre care vorbeam mai sus si poate aveti sansa de a lua masurile necesare, legale sau mai putin legale. Nu uitati sa va notati ora exacta la care acel individ a citit mesajul pentru ca in cazul conturilor pppoe sau dial-up este nevoie de ora exacta a logarii pentru a se afla cine a fost abonatul cu ip-ul X la ora Y. Exista sansa ca individul sa foloseasca un proxy asa cum exista sansa de a intra de pe propriul ip asa ca nu va faceti sperante ca veti afla cine e.

Daca cel care v-a furat contul va cere o suma de bani sau credit pe telefon incercati sa il amanati pana ajungeti la politie. Aveti grija sa para ca sunteti deschisi propunerii lui si ii veti da ceea ce va cere. Cand va duceti la politie insistati pe acest aspect al santajului. Daca plangerea este luata in serios atunci o data cu folosirea codului de reincarcare se poate inchide numarul respectiv de telefon. Nu vreau sa visez la interceptarea conversatiilor si identificarea infractorului, dar pentru cineva care fura mailuri pentru a cere 10 euro pe Cosmote inseamna paguba si munca de pomana atunci cand i se blocheaza sim-ul. Daca i se intampla acest lucru de cateva ori se va lasa pagubas. Incercati inainte de toate sa contactati si operatorul de telefonie mobila pentru a raporta santajul si vedeti daca sunt deschisi optiunii de a inchide numarul de telefon al hotului.

CE O SA INTAMPINATI LA POLITIE

Din start veti fi intampinat de un agent cu o dorinta arzatoare de a va convinge sa nu depuneti plangere. Orice v-ar spune, oricate motive v-ar da pentru a nu depune plangere, orice exemple din experienta sa va da, trebuie sa faceti sesizarea.

Majoritatea cazurilor se opresc la circa de politie pentru ca domnii de acolo nu isi doresc inca un dosar pe cap si conving victimele sa se lase pagubase. Ceea ce trebuie sa tineti minte este ca din momentul in care faceti plangere dosarul se trimite mai departe pentru ca nu ei sunt cei care pot solutiona astfel de cazuri. In cazul in care le dati si indicii exacte despre locatia sau identitatea celui care v-a spart contul de mail deja nu mai exista nici o scuza pentru organele competente de a amana solutionarea cazului.
Cu cat exista mai multe reclamatii cu atat cresc si sansele de a fi luate in seama. Este mai mult decat probabil ca o singura reclamatie sa nu aiba nici un efect, insa daca toate victimele aceleiasi persoane depun plangere situatia sta cu totul diferit. Cel putin teoretic

De ce sa faceti asta pentru un simplu mail? Pentru ca cei care azi fac astfel de gainarii sunt cei care peste cativa ani va vor goli conturile bancare. Cand pornesti pe calea furtului pe internet e greu sa iti schimbi directia.

Virusi in clipuri video [how to]

2fingers — Mon, 09 Aug 2010 08:36:58 +0000

Articol preluat cuvant cu cuvant de la adresa http://rstcenter.com/forum/24854-video-virus.rst
Autor: B7ackAnge7z

Prefață:
Acest articol trebuia să apară pe RST la începutul lunii aprilie, dar cu părere de rău, tot nu găseam timp să-l scriu, iar la un moment dat am crezut ca nici nu mai are rost să o fac. Însă astăzi, observând că eroarea găsită de mine încă e valabilă, am decis ca să public articolul, sperând ca mulți dintre cei care-l vor citi, să găsească ceva interesant, nou, neobișnuit… Mai întâi de toate, vreau să precizez, că articolul a fost scris în limba rusă și publicat pe un site rusesc pe data de 1 aprilie, dar necătînd la faptul că au trecut deja câteva luni, eroarea persistă.

Amintiri:
Totul a început la sfârșitul lunii martie, după ce am citit un post, în care autorul spunea, că dorind să privească una din seriile sitcom-ului american ”The Big Bang Theory”, a descărcat un fișier WMV, și dat fiind faptul ca Light Alloy nu putea reda filmulețul, a încercat să-l deschidă în Windows Media Player, care, l-a rândul lui avea nevoie de o oarecare ”licență”. A acceptat, și… norocul lui a fost, că antivirusul instalat, era unul dintre cele 3 sau 4 programe care putea detecta acel fișier ca fiind un Rootkit TDSS.

Ok. Autorul a avertizat cititorii, într-un comentariu a lăsat link-ul de unde a descărcat fișierul, și, practic au uitat toți de acea întâmplare. Eu însă, citind acel post, mi-am adus aminte de un caz similar, când într-o bună zi, deschizând un fișier de tip MP3, în loc să înceapă redarea fișierului, s-a deschis o pagină WEB pe care o vedeam pentru prima dată. Cel mai interesant este, că pagina a fost deschisă în Internet Explorer (necătînd la faptul ca nu era setat ca browser implicit), și autorul acelei ”compoziții” cu ușurință putea să insereze pe pagină un exploit special pentru IE.

Sincer, în acel moment nu mă gândeam la o pagină exploit-uri, și în loc sa analizez fișierul, pur și simplu l-am șters, iar unicul lucră la care mă gândeam, era că cineva își promovează site-ul într-un mod extrem de original. Au trecut deja câțiva ani de atunci, dar astfel de cazuri nu am mai întâlnit. Iată de ce, citind acel avertisment despre fișierul WMV si Rootkit-ul TDSS, am decis ca măcar de data asta să nu ratez șansa de a afla cît de sigure sunt cele mai inofensive și cele mai răspândite fișiere din lumea virtuală.

Fișierul video:
Așa cum am mai spus, autorul postului a lăsat adresa de unde puteam descărca acel fișier video, un .torrent, care împreună cu mine, era descărcat și de alți ~15 utilizatori, cărora, la sigur nici nu le trecea prin gând ce lecție de securitate îi așteaptă…

Eu însă, după ce am descărcat fișierul, știind ca nici un alt media-player nu-l poate reda, l-am deschis în Windows Media Player, iar primul lucru pe care l-am văzut, a fost mesajul «Download media usage rights»

După aceea, a apărut un mesaj mult mai convingător, propunându-mi să descarc un oarecare fișier de tip ”License-Installer” , care printre altele, a fost deja verificat de un program Antivirus:

Privind cu atenție mesajul, am apăsat pe butonul «Download Now», și în așteptarea vreo unei reacții din partea programului Antivirus, am văzut un mesaj ”des întâlnit”, care se oferea să descarce fișierul Setup.exe, de pe serverul license.compress.to:

Și iată în acest moment, a apărut prima întrebare, dacă primul mesaj spunea că fișierul se descarcă de pe serverul free-license.imgpop.com, atunci de ce fișierul se afla pe serverul license.compress.to? Pentru a găsi răspuns la această întrebare, am analizat ambele site-uri, dar, așa și cum era de așteptat, nu am găsit nimic interesant.

Protecția DRM:
Următorul pas pe care l-am făcut, a fost deschiderea fișierului de 150 MB, într-un HEX-redactor, dar nici nu mă așteptam ca va fi atât de simplu. În primele rânduri am găsit următorul text:

Am deschis pagina http://free-license.imgpop.com/venuf.php?id=Movie_0001.wmv, care automat m-a redirecționat (HTTP/1.1 302) spre pagina http://free-license.imgpop.com/venuf/index.htm, unde, am văzut o imagine cunoscută deja, doar că era ”puțin” mai mare, și plus la aceasta… era o pagină WEB:

Apoi, dorind să experimentez puțin, am încercat să editez adresa URL din fișier, dar — fără succes, căci, nici WMP nu mai dorea să deschidă fișierul video. Așa că, ”l-am întrebat” pe Google, dacă nu știe ce reprezintă această linie de cod: [I]WRMHEADER version=’2.0.0.0′[/I], care pe lângă multe altele, am găsit-o cu ajutorului HEX-redactorului:

Răspunsul de la Google, a fost scurt și clar ca lumina zilei — aveam de-a face cu Protecția DRM a fișierelor video. Astfel, mi-am dat seama că cu ajutorul unor metode legale și destul de convingătoare, un atacator poate răspândi cu succes fișiere malware fără teama de a da greș: deoarece, în primul rând nici un program Antivirus nu v-a detecta malware-ul, iar în al doilea rând, majoritatea utilizatorilor au încredere in programele Microsoft și cu siguranță vor rula astfel de fișiere.

Plus la aceasta, Windows Media Player nu este singurul player care poate reda fișiere protejate cu ajutorul DRM. Nu am găsit lista tuturor programelor care pot reda astfel de fișiere, însă știu cu exactitate că Nero ShowTime suportă DRM, doar că spre deosebire de WMP, e mai prudent,si preîntâmpină utilizatorul despre pericol (problema totuși, persistă, dacă se acceptă, pagina v-a fi deschisă în IE și nu se v-a ține cont de faptul, că alt browser e setat ca implicit):

Trebuie de remarcat faptul, ca dacă se schimbă extensia fișierului din .wma în .asf sau .wma, nimic nu se schimbă, fișierul în continuare e redat cu succes, și ce e cel mai periculos, este că în majoritatea cazurilor, fișierele .wma, vor fi automat deschise în WMP. Și apropo, am uitat să spun, după ce am deschis fișierul în HEX-redactor, am eliminat octeții ”inutili” — și am obținut un fișier ce avea mărimea egală cu 5.31KB.

Internet Explorer:
Probabil mulți cred că: «Nu există nici un pericol! Pur și simplu nu o să descarc nici o licență! Și apoi, ce legătură există între Internet Explorer, Windows Media Player și fișierele WMV?». La început, și eu credeam la fel, doar este butonul «Cancel» cu care poți anula descărcarea fișierului. Dar, cum acuși o să vă dați seama, acest buton nu va salva pe nimeni dacă fișierul a fost deschis în WMP. Cât despre IE — e o aplicație software, cu ajutorul căreia se poate de navigat pe internet…

Am găsit informație precum că Protecția DRM poate fi compromisă, însă eu nu am făcut acest lucru. În primul rând nu eram sigur că o să pot modifica adresa URL, iar în al doilea — am ales o cale mult mai ușoară: în fișierul hosts din folder-ul \Windows\System32\drivers\etc\, am adăugat următoarea linie: 127.0.0.1 free-license.imgpop.com

Pe serverul local, am creat fișierul venuf.php, am adăugat renumita frază «hello world» și cu ajutorul WMP, am deschis filmulețul — peste câteva secunde am văzut următoarea imagine:

Mai departe, cu ajutorul funcției alert(), am încercat să testez dacă suportă Javascript și redeschizând fișierul am primit o pagină ”goală”. Credeam că aici se termină experimentul, dar, am hotărât sa fac o ultimă încercare, înlocuind alert() cu document.write(). Rezultatul mi-a readus zâmbetul pe față: pagina nu mai era ”goală”, deci WMP suportă JavaScript.

Acum, gândul că un media-player poate deschide pagini WEB, și plus la asta suportă JavsScript, nu mă lăsa în pace. Astfel, dorind să aflu ce se ascunde sub masca acestui player neobișnuit, în fișierul venuf.php, am adăugat următoarea linie de cod: echo $_SERVER['HTTP_USER_AGENT'];

Și, spre marea mea mirare, am obținut următorul mesaj:

În cele din urmă, am decis să testez un Crash Exploit destinat pentru Internet Explorer, ca să văd cum se va comporta WMP. Astfel, când ce am încercat să deschid fișierul video, Windows-ul m-a anunțat că «Windows Media Player has stopped working»:

După cum vă dați seama, încercând să redea filmulețul, WMP a fost oprit forțat, deci e vulnerabil la un exploit pentru IE. Am testat doar un singur exploit, dar a fost suficient ca să-mi schimb ideile mele despre securitatea fișierelor media.

În loc de post-scriptum:
Scriind ultimele rânduri ale acestui articol, mi-a venit o mică idee: să descarc, să instalez și să testez unul dintre cele mai populare media-playere: Winamp. Ceea ce am și făcut… Dar când am încercat să deschid fișierul-video, am primit următorul mesaj:

Eram aproape sigur că va fi exact ca și în cazul cu Nero ShowTime, dar curiozitatea m-a determinat să apăs pe butonul «Yes», dar în loc să ruleze IE, am văzut doar mesajele:

Nu mi-am dat seama ce s-a întâmplat, crezând că multe se pot întâmpla, dar peste câteva secunde mi-am adus aminte că în fișierul venuf.php a rămas codul exploit-ului pentru IE… Apoi, folosind variabila $HTTP_USER_AGENT am aflat, că asemeni WMP, pentru scopurile ”personale”, Winamp folosește browser-ul Internet Explorer:

Spre deosebire de Windows Media Player, Winamp nu preîntâmpină utilizatorul de pe ce server v-a fi descărcat fișierul ”licenței”, în schimb permite utilizarea click-ului de dreapta și vizualizarea codului sursă a paginii WEB… și, pentru Winamp merg alert()-urile:

Concluzie:
La prima vedere, pentru unii, situația nu e așa de gravă precum pare, de aceea vreau să atrag atenția la faptul, că odată rulat un astfel de fișier, procesul nu va mai putea fi oprit. Și încă ceva, nu uitați că majoritatea utilizatorilor, folosesc programele standard ale sistemului de operare, inclusiv Windows Media Player, iar chiar dacă se va folosi un alt player, fișierele .asf sau .wma la sigur vor fi deschise cu WMP.

Și plus la acesta, eu nici pe departe nu cred, că un utilizator care a așteptat poate și câteva ore pentru a descărca multașteptatul fișier și văzând că nu-l poate deschide, o să-l șteargă fără să încerce toate modalitățile posibile, iar sfaturi precum «Niciodată să nu folosiți aceste media-playere!» — la sigur, pur și simplu vor fi ignorate…

De asemenea nu doar WMP, ci și Winamp, Nero ShowTime sau oricare alt player ce suportă DRM poate expune sistemul de operare la diferite exploit-uri.

[Utilitare] Suna gratis de pe internet sau de pe iPhone

2fingers — Sat, 28 Nov 2009 18:04:25 +0000

Folositi Yahoo Messenger sau Skype pentru a suna la numarul 1-800-3733-411.

Cand incepe operatoarea sa insiruie meniul spuneti in microfon “free call”.

O sa inceapa probabil o reclama care dureaza cateva secunde, dupa care robotul va anunta sa tastati numarul de telefon folosind country code in fata numarului.

Folositi dial-pad-ul de la YM sau Skype pentru a tasta numarul sub forma 40722889933.

In cazul in care robotul spune imediat dupa terminarea reclamei ca liniile sunt ocupate trebuie sa repetati procesul. Uneori merge de-abia dupa vreo 3 incercari.

Pentru iPhone si orice alt telefon de ultima generatie folositi Skype pentru a proceda asa cum am spus mai sus.

Durata convorbirii este de 5 minute dupa care trebuie sa urmati din nou pasii de mai sus.

Puteti suna oriunde in lume indiferent de reteaua telefonica.

Nu functioneaza si pe numere speciale cu suprataxa.

Ca musca in…

2fingers — Fri, 25 Sep 2009 17:58:40 +0000

De ceva vreme ma roade curiozitatea de a afla exact ce este si ce nu este pedepsit prin lege cand este vorba de copyright. Asa ca ma bag si eu ca musca in unele chestii si mai intreb in dreapta si in stanga ca sa mai invat una alta.

Subiectul de azi este distribuirea de materiale aflate sub copyright dar sub infatisarea unei imagini perfect valide.

Folosind o functie a Windows XP (nu stiu pe ce alte sisteme de operare mai functioneaza), putem uni doua fisiere cu extensii diferite. In cazul nostru va fi un fisier mp3 + un fisier .jpg. Sa spunem ca aceste fisiere poarta numele moloko.mp3 si andreea.jpg.

Punem in partitia C:\ ambele fisiere, deschidem CMD, ajungem in C:\ folosind cd\ si folosim urmatoarea comanda:

copy andreea.jpg /b + moloko.mp3 /b test.gif

Bun. Acum avem un fisier nou, numit test.gif. Exemplu => http://i36.tinypic.com/2nhq1wl.jpg

Acel test.gif odata deschis afiseaza exact imaginea pe care o contine fisierul andreea.jpg. Daca ii schimb extensia din GIF in MP3 si rulez test.mp3 voi asculta melodia din moloko.mp3.

Nelamurirea mea este urmatoarea. Daca imi deschid un serviciu de image hosting pe care se uploadeaza zilnic filme si melodii dar sub forma prezentata mai sus, pot fi acuzat de distribuire ilegala a materialelor aflate sub copyright?

Trebuie sa tinem cont de urmatoarele:

1. O poza perfect functionabila care afiseaza o imagine ramane totusi o poza. Daca nu iti spune nimeni ca poza de 3mb are un mp3 ascuns in ea, ai cum sa iti dai seama singur de asta?

2. Nu este arhiva, imagine gen .iso sau executabil.

3. Extensia si headerele sunt respectate si trec de orice filtru la upload.

4. Nu este problema mea ca proprietar de site ca o poza are mai mult de 100 kilo. La cum evolueaza tehnica digitala o imagine poate sa aiba si 2GB. Deci in afara de spatiul ocupat pe hdd si banda mancata la fiecare afisare nu ma afecteaza cu absolut nimic o imagine PERFECT VALIDA.

Astept sa-mi spuneti parerile voastre legate de subiectul asta. Parerea mea personala este ca o astfel de metoda poate trece peste chichitele juridice ce te pot baga in belele si ar putea fi folosita de trackere o buna perioada de timp. Totusi nu am idee daca ma insel sau nu si ramane doar o parere a cuiva care nu stie fiecare paragraf de lege.

Despre CSRF, hi5.com, cum sa trisezi la concursuri s.a.m.d.

2fingers — Wed, 24 Jun 2009 03:05:53 +0000

Cross Site Request Forgery este o tehnica destul de veche si are legatura (dar nu in totalitate) cu Cross Site Scripting, metodele si rezultatele exploatarii fiind de multe ori diferite fata de cele din cazul XSS. CSRF poate fi folosit in diferite scopuri, unele rauvoitoare sau utile, altele pur si simplu amuzante sau enervante. Eu va voi explica doar cateva metode deja arhicunoscute.

Lectie basic

tag nu reprezinta doar o modalitate de a include imagini, ci poate fi extrem de util cand vrem sa executam (mai mult sau mai putin limitat) anumite scripturi. Mai tineti minte metoda prezentata in cazul ro-online.ro? Acum vom face exact acelasi lucru cu Yahoo! dar cu un rezultat diferit.

Categoria “enervant” .

Daca vrem sa ne delogam de pe contul Yahoo! accesam (dupa un mic redirect), linkul https://login.yahoo.com/config/login?logout=1. Cum putem face acelasi lucru automat cuiva fara a mai fi necesara contributia persoanei respective? Simplu. Ii trimitem in mail un mesaj html ce contine acel link in tag.

Adica asa .

Persoana targetata va fi delogata automat dupa ce va citi mesajul html.

La fel se poate proceda in cazul oricarui site ce permite inserarea imaginilor din surse externe fara a verifica in prealabil daca este vorba intr-adevar de o imagine. Pe un forum spre exemplu in marea majoritate a cazurilor se foloseste BBCode. Simpla diferenta in cazul BBCode este faptul ca tagurile pe care le introducem pentru a afisa o poza vor arata cam asa:

[img]http://site.com/image.jpg[/img]

iar pentru a deloga un user vom folosi

[img]http://site.com/logout.php[/img]

Totusi de retinut ca de ceva timp multe din aceste forumuri filtreaza cu succes astfel de “atacuri”, unele verificand daca este vorba de o imagine reala, altele generand un token unic si necesar pentru fiecare utilizator, token ce nu poate fi aflat (de la caz la caz) de catre o alta persoana. Exemplul cel mai bun de site ce foloseste token-uri este twitter.com.

In categoria utile vorbim in general de voturi. Eu cam asa vad situatia, poate ma insel, poate nu. Cel mai bun exemplu este articolul despre site-ul teapa ro-online.ro. In schimb acum voi da ca exemplu jocul Bitefight si metodele pe care le-am folosit eu pentru a capata “muscaturi”.

O muscatura pe Bitefight inseamna castig in aur. O chestie care cica e utila in joc pentru ca aurul iti permite sa iti upgradezi caracterul.

Pentru a capata o muscatura trebuie sa ti se acceseze linkul personal. Linkul arata cam asa http://s7.bitefight.ro/c.php?uid=17645, singura diferenta de la jucator la jucator fiind doar numarul din valoarea uid=.

Ce am facut? La inceput m-am folosit de reteaua 3xforum.ro pentru ca permitea adaugarea de imagini externe fara a verifica linkul. Mi-am facut cont pe cel mai mare forum din reteaua lor, mi-am pus la semnatura linkul folosind BBCode si am inceput sa postez. 5-10 posturi pe saptamana in topicurile cele mai vizitate imi aduceau mii de muscaturi pe Bitefight. Toti cei care vizitau pagina unde postasem eu imi generau automat o muscatura.

In timp nu a mai functionat smecheria si am zis sa fac acelasi lucru pe hi5. Acolo m-am lovit de o asa zisa restrictie care nu imi permitea sa postez linkul respectiv in tag. S-a rezolvat in 2 minute punand la sfarsitul linkului extensia .jpg. Linkul meu arata acum asa:

Si da, se executa sub forma asta.

Mai exista si alte metode extrem de folositoare si la indemana oricui pentru a genera astfel de voturi dar momentan nu voi da mai multe detalii.

Partea amuzanta poate fi considerata in acelasi timp si enervanta de catre persoanele afectate. Acum voi vorbi despre minunatul Hi5.com.

In urma cu ceva timp am descoperit o serie de vulnerabilitati XSS si CSRF in hi5. Pot sa zic ca au fost in jur 10 XSS-uri permanente pe care le-am gasit impreuna cu Kenpachi in sistemul lor si care si-au facut treaba la timpul respectiv .

CSRF-uri inca sunt cu nemiluita si azi va voi arata cateva extrem de simple. Pentru cei interesati de vechile scapari ale hi5 pot citi mai multe informatii la adresa http://hackpedia.info/viewtopic.php?f=21&t=4661 (ignorati mesajul final al postului meu). Ceea ce vedeti acolo nu mai functioneaza din momentul in care am facut acel articol (a iesit o nebunie totala), dar pentru schimbarea limbii am gasit o noua metoda ce inca da rezultate.

Acum ca exemplu vom folosi introducerea automata pe profile a aplicatiilor din reteaua interna a hi5. Eu ii spun japca, voi ii puteti spune cum vreti. Puteti testa daca doriti pentru ca nu e ilegal

Adaugati in profilul vostru la rubrica About urmatoarele:

Cele doua tag-uri vor include automat acele aplicatii pe profilele celor care va viziteaza si sunt logati pe conturile lor. Lista intreaga de aplicatii o gasiti la adresa http://hi5.com/friend/apps/gallery.do. De acolo luati linkurile catre acele aplicatii si le introduceti in tagurile de imagini, folosind extensia .jpg la sfarsit.

La ce ajuta sa facem asta pe hi5? Daca aveti 13 ani si vreti sa va dati mari si tari in fata prietenilor o sa considerati ca e folositor ce am scris in articol. Pentru oamenii cu ceva minte e doar un exemplu amuzant.

Acum trecem la partea finala, cea care poate provoca pagube.

Sa spunem ca un forum contine anumite topicuri ce am vrea sa dispara dar adminul nu vrea sa le stearga. Daca stim care este structura forumului si modul in care functioneaza pe partea de administrare putem sa ducem la bun sfarsit atacul fara ca cineva sa isi dea seama imediat.

Ca simplu exemplu dam http://site.com/forum.

Topicurile sunt sub forma http:// site.com/forum.php?topic_id=1000.

Pentru stergerea topicului adminul trebuie sa acceseze linkul http:// site.com/forum.php?del_topic=1000.

Ce trebuie facut? Implementam undeva pe forum tag-ul (probabil sub forma de BBCode) si asteptam ca adminul sa acceseze pagina respectiva si automat sa stearga topicul. In cazul in care nu se poate injecta html pe forum se poate folosi o pagina externa si apoi se posteaza un link (cat mai atragator) catre aceasta.

In cazul browserelor de ultima generatie se pastreaza sesiunea activa chiar daca este deschis un link in alta pagina asa ca sunt sanse foarte mari de reusita.

De retinut ca acesta e doar un exemplu si ca majoritatea cms-urilor din ziua de azi nu permit astfel de metode, singura optiune ce mai poate fi aplicata din cand in cand fiind folosirea XMLHttpRequest pentru a forta browserul sa trimita POST content. Prin metoda asta am reusit sa schimb descrierea a cateva sute de useri pe Bitefight.ro si sa le activez optiunea de stergere a contului.

Ceea ce am scris in acest articol este foarte basic si Cross Site Request Forgery NU INSEAMNA numai adaugarea linkurilor in taguri de imagine.

Have fun

Internet vs. privacy (2)

2fingers — Wed, 25 Feb 2009 23:15:32 +0000

As dori sa dedic acest articol “fanilor”, mamei mele, bunicii, catelului, speraclului folosit de “unu” la spargerea usilor deja deschise si desigur domnului Ionut Balan.

De ce insistam atat de mult pe securitatea site-urilor? Pentru ca acele site-uri detin cele mai importante date ale oamenilor. Pentru ca o vulnerabilitate banala poate insemna acces la datele noastre confidentiale. Pentru ca informatia inseamna putere si de multe ori bani. Deci stim motivatia celor care ataca diferite site-uri cu scopul de a extrage cat mai multe date confidentiale de pe ele.

Exemplu: Mihaita isi face cont pe www.site.com, completeaza cu datele lui reale formularul de inscriere si cu parola universala pe care si-o trece la orice serviciu online. Ca sa nu se oboseasca prea mult foloseste si adresa lui de mail in care pastreaza diferite informatii destul de importante. Site-ul este mare, are milioane de utilizatori, este verificat la sange de o gramada de experti. Ce sa mai, e un site in care poti sa ai incredere orbeasca. Dar apare “cracheru” care acceseaza “fara permisiune” baza de date a site-ului. Ce poate sa faca acum daca tot are acces? Hai sa extraga tot ce e in baza de date. Si se apuca de extras nenea.

Dupa extragerea informatiilor din db se incepe verificarea unor usere si a unor parole. Uite ca la userul Mihaita s-a potrivit parola de pe site cu cea pe care o are la mail. Si “cracheru” se logheaza pe mailul lui Mihaita ca nu e nimeni care sa ii dea un capac dupa ceafa si sa ii zica “nu face asta ma”. A gasit poze cu nevasta lui Mihaita. Hmm, cam indecente. Bun, le trimite la pitzipoanca si la cocalari sa faca misto de fraier. Ia uite are si mesaje venite de la o banca. Ii da un forgot password si… voila, acces in contul bancar al lui Mihaita. Hai ca s-a facut “cracheru” de ceva bani. Nici nu a fost prea greu.

Exemplu din viata reala (da, chiar se foloseste metoda urmatoare):

Sa spunem ca esti pe trilulilu si ii lasi lui Vasilica o injuratura la comentarii. Cel pe care l-ai deranjat are ceva cunostinte IT dar stie ca nu are sanse sa sparga trilulilu, asa ca se apuca sa caute nickname-ul tau pe net. Cu cat userul tau e mai diferit de cuvintele comune, cu atat are mai multe sanse sa gaseasca rapid toate detaliile necesare despre tine. Rezultatele sunt imbucuratoare. Cel vizat are conturi pe vreo 15 site-uri.

Tot ce ramane de facut e sa ia la puricat fiecare site in parte. Din 15 site-uri sunt sanse mari (o sa dovedesc asta intr-un articol viitor) ca macar unul singur sa fie vulnerabil la una dintre metodele de exploatare. In clipa in care unul dintre cele 15 site-uri a fost spart si s-a reusit extragerea informatiilor, esti foarte aproape de un mic dezastru. Ce poate face Vasilica cu informatiile tale extrase de pe alt site?

1. Iti afla adresa de mail.

2. Iti afla parola pe care ai folosit-o la inregistrare.

3. Verifica daca parola extrasa e aceeasi cu cea de la mail si cu cea folosita la conturile de pe celelalte site-uri.

4. Daca e aceeasi parola si la mail:

- iti poate lua mailul cu totul

- poate sterge tot ce se afla in mail

- se poate folosi de adresele din lista ta de contacte pentru a-ti trimite un troian de la o persoana in care ai incredere (detalii despre mail spoof aici)

- iti poate vedea toate serviciile online la care te-ai inscris

- iti poate afla toate celelalte parole pe care le mai folosesti la serviciile online

- publica pe net detaliile picante pe care le tii pe mail

5. Daca nu e aceeasi parola la mail:

- incearca sa foloseasca metode de phishing pentru a te convinge sa-i dai parola

- incearca sa foloseasca vulnerabilitati xss pentru a-ti fura cookie

- iti poate trimite software de tip spyware pentru a capata acces la computerul tau

- iti poate trimite mailuri de genul celor readnotify prin care sa iti afle ip-ul si alte informatii despre browserul pe care il folosesti, sistemul de operare etc., informatii ce pot fi utile pentru un nou val de atacuri.

6. Iti afla ip-ul. Ceea ce poate duce la un mic scan pe acel ip in cautarea unei brese din calculatorul tau (slabe sperante de reusita), sau iti poate administra un atac de tip denial of service*.

*cei mai afectati ar trebui sa fie doar cei cu ip-uri statice, cele dinamice acordand fara voie un mic plus de protectie deoarece la reconectare se aloca un ip diferit. Daca gresesc puteti sa-mi atrageti atentia. De fapt sunt sigur ca ati face asta fara ezitare, diavoli mici

7. Poate afla din datele contului tau numarul de telefon, unde locuiesti sau care este numele tau real (de la caz la caz si in functie de site).

Astfel faptul ca ai folosit aceeasi parola la mai multe servicii si ai avut grija sa te inscrii cu acelasi nickname pe unde ai apucat iti poate aduce destule probleme, dar problema cea mai mare e ca toti suntem la mana sys adminilor si a coderilor. In functie de cheful si cunostintele lor, datele noastre pot fi in siguranta sau in pericol. Ce am spus eu mai devreme acopera doar o mica parte din totalul posibilitatilor de atac combinat.

Intrebare generala retorica: daca stii ca ai scapa de problemele de mai sus pentru ca niste talhari, hoti, nenorociti, cum ne spun conationalii, au fortat webmasterul sa isi securizeze aplicatia, ai mai spune ca vrei sa ne vezi la inchisoare?

Internet vs. privacy (1)

2fingers — Wed, 25 Feb 2009 00:34:10 +0000

English version will be posted tomorrow

Se pot scrie extrem de multe randuri referitoare la intimitatea unui utilizator de internet. Eu voi scrie pentru moment doar cateva aspecte importante.

Dupa cum spunea si RSnake intr-un articol pe care nu am avut rabdarea sa il mai caut, oamenii vor sa dea click pe link-uri si sa se inregistreze pe cat mai multe site-uri. Primesti un link pe messenger? Da click pe el fara sa te gandesti prea mult. Intri pentru prima data pe un site? Ai grija sa te inregistrezi pe el cu datele tale reale, cu adresa ta de mail in care iti tii datele bancare si documente personale. Stai asa putin! De ce sa nu folosesti aceeasi parola peste tot?

Nu stiu cati dintre voi cunosc povestea lui VisUrat si intamplarile lui cu un joc online romanesc. Varianta “pe scurt” este urmatoarea: s-a luat in gura cu adminii site-ului respectiv, adminii au avut grija sa ii inchida contul si sa testeze in mai multe locuri parola pe care si-o setase baiatul cand si-a facut cont pentru a se juca. Si ca sa vezi, parola din joc (care se spune ca era salvata in plain text) era aceeasi cu cea a contului de mail pe care VisUrat il folosea si pentru comunicarea pe messenger. Au urmat o serie de mass-uri pline de cuvinte dulci la adresa celor din lista si cam asta a fost. Baiatul a luat masuri, a reclamat, el stie mai exact ce a rezolvat si daca acuzatiile s-au dovedit a fi reale. Cred ca va raspunde daca il intrebati.

Revenim. Conturile importante de mail nu trebuiesc folosite la inscrieri pe site-uri inutile. Nu trebuiesc folosite la instant messaging. Nici sa le pui pe pagina personala de hi5. NICIODATA (si chiar sunt foarte serios cand spun NICIODATA) nu trebuie sa folositi aceeasi parola pe care o aveti la conturile importante (de orice fel), pentru a va inscrie pe diferite site-uri. (Foarte) preferabil e sa folositi si o adresa de mail pe care nu tineti nimic important. Intr-un articol viitor o sa va explic mai amanuntit de ce.

Acum partea dulce a articolului. Unii dintre cititori stiu aceste metode asa ca s-ar putea sa se plictiseasca.

Dam o situatie fictiva ca ne place sa facem asta.

Leana e vedeta. Deci persoana publica. Si Leana are cont de mail la Yahoo! (doar un exemplu). Yahoo! mail are optiunea de forgot password. Eu vreau sa ii iau parola. Pana aici e destul de simplu nu? Bun. Trecem mai departe.

Dau click pe “forgot password”, trec peste chestiile evidente si ajung pe pagina unde se cer urmatoarele:

1. Birthday – Data nasterii

2. Country of residence – Tara

3. Postal Code – Cod Postal

Acum totul tine de informatiile gasite pe net si de putin noroc. Daca Leana a folosit la inregistrare datele reale totul e perfect. Daca nu… slabe sperante sa trec de acest pas.

Cautam data nasterii pe net. Google este cel mai bun ajutor desigur. Un simplu dork de genul intext:”Leana s-a nascut la data de” imi poate aduce deja primele informatii. Ca o mica paranteza trebuie sa precizez ca sunt sanse mari ca informatiile respective sa le gasesc pe wikipedia.com. Nu-i asa ca e frumos internetul? Revenim. Vad data nasterii si completez casutele de pe pagina Yahoo. Country of residence… hai ca nu e greu. Incercam Romania? Daca s-a mutat din tara aflam unde e acum si schimbam. Nu e bai. Poate merge. Ramane postal code. Aici e putin mai dificil.

Multi au obiceiul de a folosi ca zip pentru Romania numerele 7000 sau 70000. Din cate am vazut la inregistrarea conturilor noi de Yahoo! trebuie folosit un numar format din 6 cifre. Ceea ce e bine, ca ii baga pe oameni in dubii si pun numere alandala. Totusi sa zicem ca este un cont mai vechi si folosim 7000 sau 70000. Daca nu merge aici se termina totul. Exista sansa ca pe pagina de profil sa gasim zip-ul contului dar nu multa lume completeaza acea pagina.

Sa spunem ca a functionat si am trecut mai departe. Acum intrebarea secreta. Cum il cheama pe animalutul tau? Google rapid. Zic astia din CanCan ca i-a cumparat pisicii o zgarda de diamante. Citim, citim si gasim o declaratie “Mitzi e ca un copil pentru mine”. Ahaaa, deci Leana are o pisica pe care o cheama Mitzi. Si incerc mai departe. Daca depasesc si acest pas obtin parola noua. E greu, functioneaza foarte greu metoda, dar in unele cazuri da rezultate neasteptate.

Cel mai simplu e in cazul conturilor Gmail. Acolo ai nevoie doar de raspunsul la intrebarea secreta. Chiar daca posibila victima are mail alternativ trecut in cont, tot ce trebuie sa faci e sa ai rabdare cateva zile pentru a ajunge la pagina unde dai raspunsul la intrebarea secreta. Pentru ca este un feature minunat.

Hi5. Este cool nu? Probleme:

1. Ai poze pe el. Ca e la moda.

2. Nu poti sterge definitiv contul.

3. Pozele raman stocate pe server chiar daca iti inchizi contul.

4. In cookie se afla adresa de mail pe care o ai la cont.

5. E (inca) vulnerabil la xss. Deci se poate fura cookie. Deci se poate afla adresa de mail.

6. Poti face cont de pe mailul oricui. Nici macar nu e nevoie sa fie mailul tau sau sa confirmi ceva. Exista o confirmare dar nu este obligatorie. Important e sa nu existe deja acel mail in baza de date a hi5.

7. Cireasa de pe tort: bagi adresa de mail in casuta de search si iti apare contul facut pe acea adresa de mail. Si da, inca functioneaza.

Va urma… muuuult mai mult

Ce nu se invata la scoala – (D)DOS (5)

2fingers — Fri, 06 Feb 2009 08:41:19 +0000

Atacurile (distributed) denial of service, sau flood in exprimare libera, sunt o mare problema ce necesita multa rabdare, nervi de otel si desigur cunostinte tehnice, pentru a fi oprite. Multi oameni au fost si sunt afectati de aceste atacuri asa ca subiectul nu va muri niciodata.

Nu voi explica ce inseamna aceste atacuri pentru ca se pot gasi definitiile exacte pe zecii de mii de pagini, dar in schimb voi explica cateva chestii ajutatoare putin cunoscute de oameni. Azi vorbim despre clientii shared hosting si diferenta intre o firma de hosting romaneasca si cele din afara.

SITE-UL MEU E ATACAT. CE E DE FACUT?

Primul lucru pe care trebuie sa il tii minte este ca daca TU esti tinta, hosting providerul tau nu trebuie sa afle asta.

Stiti pe ce se bazeaza un atac (D)DOS menit sa elimine definitiv sau pentru timp indelungat un site? Pe factorul uman. Exact, factorul uman are cel mai mare rol in toata povestea. Sa dam un mic exemplu ca sa intelegeti mai bine.

Se da site-ul www.targeted.ro, site ce imparte hostingul si ip-ul cu inca 50 de alte domenii. Targeted.ro incepe sa fie atacat si toti clientii de pe server sunt afectati, toti incep sa se planga ca nu le mai functioneaza site-ul, iar adminul de la firma de hosting trebuie sa rezolve problema. Daca adminul este depasit de situatie iar proprietarul targeted.ro ii anunta pe cei de la firma de hosting ca el este cel vizat, deja putem spune ca primul pas catre scopul final al atacatorului a fost facut.

Trebuie sa mentionez ca un atac eficient poate dura de la 24 ore pana la cateva saptamani bune asa ca firma de hosting poate pierde enorm de mult din cauza asta.

Sa spunem ca deja au trecut doua zile de cand au inceput atacurile si ca nu prea exista solutii definitive la indemana sys adminului ce se ocupa de server. Stiti ce se intampla? Va avea de ales intre 50 de clienti si unul singur. Majoritatea va castiga cu siguranta iar domeniul cu probleme va fi inlaturat elegant de pe serverul respectiv.

Deci niciodata nu anuntati adminul ca voi sunteti cei targetati. E de ajuns sa ii dati un mail prin care sa il anuntati ca nu poate fi accesat site-ul si sa se ocupe el de restul pentru ca e datoria lui sa o faca. Chiar nu e nevoie sa dati mai multe detalii.

SITE-UL MEU E ROMANESC SI CU TRAFIC 99% DIN ROMANIA DAR NU VREAU SA FOLOSESC SERVICIILE DIN ROMANIA PENTRU CA SUNT DE RAHAT

Adevarat dar si gresit in acelasi timp. Cand ai domeniul hostat pe un server cu conexiune metropolitana deja ai rezolvat o mare parte a problemei. De ce spun asta?

Majoritatea atacurilor se folosesc de servere externe. Providerii nostri de internet filtreaza tot ce inseamna extern in cazul unor astfel de atacuri dar metropolitanul functioneaza in parametri normali. Deci cei 99% dintre vizitatori aflati in Romania pot accesa fara nici cea mai mica problema domeniul respectiv chiar daca atacurile venite din extern sunt extrem de puternice. In schimb hostingul din afara nu stie notiunea de metropolitan si chiar daca ar exista nu ar fi metropolitan romanesc, deci egal cu zero.

AM INCHIRIAT UN SERVER DEDICAT DE LA O FIRMA DE HOSTING STRAINA. SE APLICA SI LA MINE ACELEASI SFATURI DE MAI SUS?

Depinde de seriozitatea firmei. Din pacate sunt foarte multi oameni ce platesc pentru un dedicat si primesc un vps fara sa stie, ceea ce din punct de vedere al atacului inseamna intr-un fel sau altul tot shared hosting. Trebuie sa precizez ca tipul de atac conteaza foarte mult in cazul vps-urilor, dar si capacitatea de rezolvare a problemelor pe care o are firma de hosting, aparatura necesara si desigur cunostintele sys adminilor. Stiu cazuri in care sys adminul le-a spus clientilor “aveti dedicat e problema voastra”.

AM SHARED HOSTING DAR AM IP DEDICAT. E BINE SAU RAU?

Aici chiar este o problema. Daca ai doar tu acel ip este mult mai greu de aflat care sunt celelalte site-uri hostate pe acel server. Asta este un lucru extrem de bun. Dar in cazul in care tu esti tinta atacului imediat va afla si firma de hosting acest lucru pentru ca vede pe ce ip vin pachetele.

DECI DACA AM HOSTING IN ROMANIA NU MAI IMI “PICA” NIMENI SITE-UL?

Este mult mai greu cu siguranta dar nu imposibil. Inca exista atacurile de tip httpget, din servere romanesti si cele dc++. Daca in cazul atacurilor httpget si din servere romanesti exista solutii, atacurile dc++ sunt extrem de greu de oprit.

Cei de la firma noastra de hosting (al carui nume nu-l voi da ca sa nu ziceti ca e advertorial) au stat o luna intreaga ca sa afle cum se pot stopa miile de conexiuni/secunda ce provin din exploiturile de hub-uri. Au reusit deci se poate. Singura problema e ca trebuie sa ai sistem de clustere special tunate pentru cateva sute de mii de conexiuni/secunda ceea ce e destul de scump pentru firmele mici si imposibil de realizat pentru sys admini incepatori.

Din fericire majoritatea huburilor au fost upgradate si cele afectate de acel bug au scazut simtitor.

Sfatul nostru: daca aveti vizitatori doar din Romania gasiti-va un hosting de incredere aflat la noi in tara. Sunt sigur ca sunt cateva firme serioase.

Va urma…

Ce nu se invata la scoala – Tipuri si tehnici spam/Hi5 (4)

2fingers — Sun, 01 Feb 2009 05:47:20 +0000

Pentru persoanele ce au gresita impresie ca ne pricepem doar la sql injection azi voi explica cum se pot folosi serviciile legitime ale altor site-uri pentru a spama fara grija dar si metodele de crestere a traficului prin intermediul retelelor de socializare.

In prima parte a articolului o sa explic metodele cele mai intalnite, in cea de-a doua parte metode putin mai avansate si mai private (pana acum) pe care le-am testat inainte de publicarea acestui articol si au avut un real succes, iar in ultima parte implicatiile din punct de vedere al securitatii. Credeti-ma ca se merita citit pana la capat chiar daca este un articol lung.

Sa luam ca exemplu hi5.com pentru ca este probabil cel mai folosit site de acest gen in Romania.

Partea 1

Cel mai arhicunoscut mod de a spama este inserarea de coduri html in comentariile profilelor, a pozelor sau in mesageria interna. Imagini, clipuri, linkuri ascunse sub diferite forme, toate menite sa il convinga pe utilizator sa intre pe paginile din afara retelei de socializare. Oricare dintre voi poate vedea toate acestea doar intrand la intamplare pe maxim 3-4 profile diferite sau, pentru cei care nu au chef sa caute, un exemplu concludent este aici.

Spamul in comentarii este extrem de simplu si poate aduce cateva mii de unici pe zi. Tot ce conteaza este doar sa fie un mesaj cat mai credibil si sa ajunga sa fie listat pe cat mai multe profile.

Cum se dau miile de comentarii? Desigur ca nu manual. Ar dura prea mult timp acest lucru. Asa ca se folosesc mici scripturi sau programele special concepute sa extraga profile, sa verifice care profile dau automat accept la comentarii si sa trimita mesajele publicitare.

O imagine cu un astfel de program puteti vedea mai jos. Stati linistiti si nu va chinuiti sa il cautati pentru ca nu mai functioneaza.

Totusi nu doar simpla trimitere a mesajului aduce trafic, conteaza si modul in care este prezentat. Unii pun imagini cu fete sexoase, altii un screenshot cu playerul YouTube etc etc. Depinde de la caz la caz si de la spammer la spammer.

Cum trebuie sa arate un astfel de comentariu?

Totul este html pur. Se adauga un cod de tipul:

Am testat si eu cateva metode pe care mi le-au impartasit cei din stafful RST si am gasit ca fiind extrem de eficiente urmatoarele imagini.

Primul exemplu este un simplu .gif animat facut de AhEaD si Nemessis. Stiti cati oameni dau click pe asa ceva? Extrem de multi. Iata de ce:

Destul de convingator pentru genul de utilizatori hi5 nu-i asa?

O alta imagine ce aduce click-uri este si aceasta:

Imaginea respectiva se adauga pe pagina de start a unui profil. Spammerul isi face un profil interesant, adauga poza la “comments” si apoi restrictioneaza comentariile celorlalti vizitatori pentru a pastra imaginea “on top”.

Totul pare incredibil de simplu nu? E timpul sa va explic si partea putin mai complicata folosita la un nivel ceva mai avansat. Nu stiu daca cineva a mai folosit aceste metode pana acum, dar stiu sigur ca sunt cele mai eficiente si greu de depistat.

Partea a 2-a

Dupa cum am spus in articolele anterioare, spamul in mail este ilegal dar extrem de eficient. Cum poti da un spam “legal” folosind retelele de socializare?

Hi5 are, la fel ca si majoritatea site-urilor de acest gen, optiunea de a invita persoanele aflate in lista de contacte a contului tau de mail (address book in cazul Yahoo!). Bagi user, bagi parola, dai invite si de restul se ocupa scriptul hi5.

Pentru a folosi aceste optiuni la o capacitate maxima un spammer trebuie sa urmeze urmatorii pasi:

1. Modifica css-urile hi5 pentru a personaliza contul si a restructura intreaga grafica a paginii. Un exemplu extrem de concludent este cel din poza. Nu voi pune linkul catre profil si nici codul sursa pentru ca este ultimul lucru pe care ar trebui sa il mai aiba romanii la indemana. Metoda modificarii css-urilor Hi5 este publica, deja folosita de un numar maricel de persoane si daca o sa cautati cu siguranta veti afla cum se procedeaza. Dar eu nu o voi pune aici. Sâc!

2. Creeaza o lista cat mai mare de contacte in conturile lui de mail folosind functia “Import”. Din cate tin minte la Yahoo! mail capacitatea maxima de contacte este de 5000. O sa explic putin mai tarziu cum se poate face rost de aceste contacte.

3. Dupa ce prepara conturile de mail nu trebuie decat sa se logheze pe cont si sa invite persoanele din address book folosindu-se chiar de optiunea oferita de hi5.

4. Scriptul hi5 trimite mail la toti cei din lista de contacte a spammerului si ii invita sa ii viziteze profilul.

Este legal? Da. Nu se poate dovedi intentia de spam din moment ce s-au folosit optiunile acordate chiar de catre site.

Este eficient? Extrem de eficient.

Ajunge in inbox mesajul? In majoritatea cazurilor da. Este vorba de hi5 totusi.

Spamul are efecte pe termen indelungat? Da. Cu cat ai mai multi prieteni cu atat ai expunerea mai mare, pentru ca lumea intra de pe un profil pe altul dand click pe listele altora de prieteni, liste in care se afla si contul folosit la spam.

Sa revenim asupra paginii de profil. La rubrica “about” se poate introduce html fara probleme. Chiar modificarea in sine a css-ului se face prin acea rubrica. Poza pe care o vedeti in imaginea de mai sus duce catre un site extern. Este un simplu link sub imagine ca cel pe care l-am aratat in prima parte. Cand cineva acceseaza profilul si vede doar acea imagine ce credeti ca face? Da click pe ea.

In privinta contactelor din mail exista destule solutii. Yahoo! permite sa dati import si export la address book ceea ce e destul de “cool”. De acele address books se poate face rost extrem de usor dar se si pot “fabrica”. Sa vedem cum.

Fisierul cu contactele de la Yahoo! exportat (cel cu extensia .csv) este usor de editat cu ajutorul Excel. Cine are o lista de mailuri poate da paste la toate acele adrese in fisierul respectiv si deja si-a creat o lista de contacte foarte mare in doar cateva minute.

Un xss de Yahoo! poate deasemenea sa contribuie la extragerea contactelor din conturile sparte. Paginile false de logare Yahoo! au si ele un rol la fel de important. Cand spammerul capata acces in conturile respective nu trebuie decat sa le dea export la address book si astfel isi mareste lista de spam.

Partea a 3-a

Din pacate aceste metode pot fi folosite si in alte scopuri decat cresterea artificiala a traficului pe site-uri.

Atata timp cat este permisa adaugarea linkurilor catre domenii externe in profile, exista si sansa ca retelele de socializare sa devina un adevarat pericol pentru utilizatori. Sa dam cateva exemple simple.

Daca linkurile din acele poze duc catre programe de tip spyware? Sa fim realisti. Internetul se afla in viata oamenilor de foarte mult timp dar inca se gasesc foarte multe persoane care downloadeaza si executa poza.exe in speranta ca vor vedea o gagicuta fierbinte.

Sau cum ar fi ca paginile pe care sunt trimisi simplii vizitatori sa contina exploituri sau iframes cu vulnerabilitati xss in diferite domenii? Mi se pare trist ca un om ce intra pe hi5 ca sa isi faca noi prieteni virtuali poate ramane fara banii din contul bancar sau i se poate “sparge” mailul doar pentru ca a dat click pe o poza ce ducea catre un site care ii fura cookies de la online banking, webmail sau cine stie ce alte servicii ce neaparat trebuiau sa fie “secure”.

O vulnerabilitate poate completa si propaga o alta vulnerabilitate iar goana pentru a face bani multi si cat mai rapid din web si trafic poate aduce extrem de multe neplaceri. Retelele de socializare au fost, sunt si vor ramane pentru mult timp un adevarat pericol pentru internautii neinstruiti. Chiar si o mare parte din cei care vor citi acest articol vor zambi si vor spune ca asa ceva nu ar face nimeni, dar adevarul este ca tot ce am spus aici se poate creea in doar cateva minute si deja este folosit de diferite persoane si afecteaza in acelasi timp alte cateva mii saptamanal.

Va urma…