The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Зафиксирована массовая атака, нацеленная на создание ботнета из сайтов на базе WordPress

13.04.2013 20:53

Последние несколько дней в Сети наблюдается интенсивная Brute Force атака, направленна на подбор паролей для аккаунтов сайтов на базе свободного движка WordPress. Атака носит массовый характер и организована с использованием крупного ботнета.

Попавшие под действие атаки сайты подвергаются проверке входа под логином "admin" через страницы /wp-login.php и /wp-admin с использованием примерно тысячи наиболее популярных паролей. В случае, если подбор пароля оказался успешен, в движок WordPress внедряется бэкдор, который подсоединяет взломанный сайт в состав ботнета и позволяет сохранить контроль даже после смены пароля. Поражённый хост начинает участвовать в Brute Force атаке для выявления других жертв, но также может принимать команды и выполнять другие действия, типичные для ботнетов, такие как совершение DDoS-атак. Текущий размер ботнета из WordPress-серверов уже оценивается в более чем 90 тысяч хостов.

Отмечается, что ботнет из серверов значительно более опасен в плане совершения DDoS-атак, чем ботнет из пользовательских машин, так как серверные системы имеют доступ к более широким каналам связи (стомегабитный порт для сервера в крупном датацентре уже в порядке вещей) и более болезненны при блокировке (на одном IP могут находиться сотни сайтов). При этом даже не связанный с DDoS-атакой трафик, генерируемый в процессе наблюдаемого подбора паролей, негативно повлиял на деятельность некоторых хостинг-компаний, так как он существенно искажает типичную для хостинг-операторов ориентацию на преобладание исходящего трафика.

Тем не менее, некоторые эксперты отвергают сведения об участии взломанных серверов в Brute Force атаке, считая, что целью их взлома является распространение вредоносного ПО для поражения клиентских систем путем подстановки на страницы поражённых сайтов кода для эксплуатации уязвимостей в браузерах и популярных плагинах к ним.

Всем администраторам блогов на базе движка WordPress рекомендуется убедиться в использовании надёжного несловарного пароля для своих аккаунтов. Кроме того, для блокирования атаки советуют не использовать для администратора логин admin, защитить доступ к скрипту wp-login.php через дополнительную Basic-аутентификацию на уровне http-сервера или разрешить вход только с определённых IP. Для ещё более серьёзной защиты можно использовать дополнения с реализацией двухуровневой аутентификации с одноразовыми паролями. Владельцам уже взломанных сайтов рекомендуется переустановить с нуля WordPress, обновить секретные ключи и поменять все пароли.

  1. Главная ссылка к новости (http://krebsonsecurity.com/201...)
  2. OpenNews: На Spamhaus.org обрушилась крупнейшая в истории DDoS-атака
  3. OpenNews: Проведено сканирование портов всех IPv4-адресов с использованием ботнета из маршрутизаторов
  4. OpenNews: В Сети зафиксирован массовый взлом серверов на базе Linux
  5. OpenNews: Обнаружен червь, эксплуатирующий исправленную год назад уязвимость в JBoss
  6. OpenNews: Уязвимые сайты на базе Joomla и WordPress в массовом порядке вовлечены в распространение вредоносного ПО
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/36689-security
Ключевые слова: security, wordpress
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (129) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Anonim (??), 21:50, 13/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –17 +/
    И сколько сайтов взломаны таким образом? Два?

    Можно как-то разрешить доступ к админке для нескольких пулов адресов местных провайдеров? Открывать 1 адрес, или перечислять несколько в .htaccess не серьезно ))

     
     
  • 2.2, Lain_13 (ok), 21:56, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +10 +/
    > Текущий размер ботнета из WordPress серверов уже оценивается в более чем 90 тысяч хостов.
     
     
  • 3.26, Аноним (-), 14:51, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ну подумаешь, всего в 45 000 раз чувак облажался. Впрочем, кубок "хучший аналитик месяца @ opennet" он все-таки получает.
     
  • 2.34, Xasd (ok), 15:46, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > И сколько сайтов взломаны таким образом? ...

    сайтов было бы явно меньше -- если бы там при вводе пароля была бы капча.

     
     
  • 3.37, Аноним (-), 15:53, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > сайтов было бы явно меньше -- если бы там при вводе пароля была бы капча.

    Там и пользователей было бы меньше...

     
  • 3.143, torreodoor (?), 16:19, 18/06/2013 [^] [^^] [^^^] [ответить]  
  • +/
    сайтов было бы явно меньше -- если бы там логин был на admin. (это ЭЛЕМЕНТАРНЕЙШАЯ вещь в защите сайта, о которой нормальному человеку (админу) не надо напоминать..)
     

  • 1.3, kerneliq (ok), 22:01, 13/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Посмотреть бы список из тысячи наиболее популярных паролей.
     
     
  • 2.4, Аноним (-), 22:03, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Скачай какую-нибудь базу для брут форса да загляни внутрь
     
  • 2.5, Lain_13 (ok), 22:07, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +4 +/
    На тебе топ 500, например: http://www.securrity.ru/worstpwdz.html
    Количество болванов, использующих в качестве паролей 123456 и password, до сих пор поражает.
     
     
  • 3.6, Аноним (-), 22:13, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    qwerty с паролем 123456 срабатывала 3 раза
     
     
  • 4.7, angra (ok), 22:48, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    ЕМНИП на баше в свое время было мощное движение по использованию как раз такого логина/пароля для некритичных сайтов, требующих раздражающую многих регистрацию. Возможно вы попали на его след.

     
     
  • 5.76, meequz (ok), 11:11, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Чем только люди не занимаются, лишь бы не пользоваться bugmenot.
     
  • 4.44, qwerty (ok), 18:54, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > qwerty с паролем 123456 срабатывала 3 раза

    Вот именно ;-)

     
  • 3.8, angra (ok), 22:54, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Хитрожопым товарищам, использующим русские слова, набранные в латинской раскладке, стоит обратить на 443-е место: пароль/gfhjkm

    А вот что заинтересовало, так это 211-е: 05)4HeblzZ*3Q5. У кого-нибудь есть идеи о причине такой популярности?

     
     
  • 4.10, Lain_13 (ok), 23:08, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Может это какой-то фейковый онлайн-генератор паролей для дураков, который всегда выдаёт один и тот же псевдо-безопасный пароль? Смотрится действительно загадочно.
     
  • 4.11, all_glory_to_the_hypnotoad (ok), 23:12, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    упёрли базу хешей/паролей с других ресурсов, потом их же пробуют на других. Часто один человек использует одинаковый пароль везде.
     
  • 4.12, тоже Аноним (ok), 23:14, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Две идеи навскидку:
    1. "Секретный" сервисный пароль кого-нибудь из производителей роутеров, например.
    2. Образец крутого пароля в книжке "Безопасность для чайников", вышедшей большим тиражом.
     
     
  • 5.20, бедный буратино (ok), 13:24, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    3. добавлен в список просто так
    4. добавлен в список не просто так
    5. это пароль того самого сервера, который случайно туда попал, потому что на нём тренировались больше всего
     
  • 2.9, angra (ok), 23:04, 13/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Усеченную версию, которую использует в том числе и john the ripper можно взять отсюда:
    ftp://ftp.openwall.com/pub/passwords/wordlists/passwords/password.gz

    За деньги http://www.openwall.com/wordlists/ предлагают улучшенный и дополненный вариант

     
  • 2.14, arisu (ok), 06:04, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +11 +/
    > Посмотреть бы список из тысячи наиболее популярных паролей.

    возьми сервер, поставь вордпресс, сделай несколько простых телодвижений — к тебе придёт ботнет и сольёт тебе базу паролей.

     
  • 2.22, Аноним (-), 13:49, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • –2 +/
    500 устроит? Забирай http://www.securrity.ru/worstpwdz.html
     
  • 2.69, 80е (?), 05:31, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Посмотреть бы список из тысячи наиболее популярных паролей.

    «12345», «123456».

     
     
  • 3.70, бедный буратино (ok), 06:19, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Зачем такие сложности Самый популярный - 1 ------------------------------- ... большой текст свёрнут, показать
     

  • 1.13, 2x2 (??), 00:30, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    «Информзащита» обнаружила критичные уязвимости в популярном плагине для WordPress

    смотри: http://pda.cnews.ru/news/index.shtml?line/2013/04/12/525616

     
  • 1.16, Аноним (-), 11:31, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Где появляется маркетинг на первом месте, там начинаются проблемы на всех остальных местах. Вспомним хвастливый лозунг "5 минут установки" от WordPress, что сразу заставило подозревать скорые проблемы. Что не заставило себя долго ждать.

    Справедливости ради отметим, что 99% всех CMS ставится за 5 минут (в смысле от начала установки до входа в административную панель).

     
     
  • 2.21, Фтщтнь (?), 13:44, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Где появляется маркетинг на первом месте, там начинаются проблемы на всех остальных
    > местах. Вспомним хвастливый лозунг "5 минут установки" от WordPress, что сразу
    > заставило подозревать скорые проблемы. Что не заставило себя долго ждать.
    > Справедливости ради отметим, что 99% всех CMS ставится за 5 минут (в
    > смысле от начала установки до входа в административную панель).

    Справедливости ради отмечу, что это не проблема WordPress (в данном конкретном случае уж точно), а пользователей. Было бы нелепо закрывать входную дверь квартиры на туалетную задвижку и ждать что к тебе не залезут воры

     
     
  • 3.25, бедный буратино (ok), 13:58, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Справедливости ради отмечу, что это не проблема WordPress (в данном конкретном случае
    > уж точно), а пользователей. Было бы нелепо закрывать входную дверь квартиры
    > на туалетную задвижку и ждать что к тебе не залезут воры

    Со стороны общественности предлагаю ботнеты, где юзеры с помощью разработчиков или без оных забивают болт на безопасность, именовать термином "болтнет". Чтобы отличать от реальных уязвимостей.

     
     
  • 4.36, тоже Аноним (ok), 15:52, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Предлагаю неофициальный термин "ситечко".
    Тут тебе и сетка, и дырявость, и чайник всегда где-то рядом...
     

  • 1.17, Александр (??), 12:22, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    На чужом горбу в рай хотят выехать.Бандит(вор) должен сидеть в тюрьме.Когда уже примут всемирный закон сажать хакеров и их заказчиков?
     
     
  • 2.19, rainerate (?), 13:10, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А еще можно сажать программистов и заказывать дедов морозов. ^__^
     
     
  • 3.28, Аноним (-), 14:56, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > А еще можно сажать программистов и заказывать дедов морозов. ^__^

    Или сажать дедов морозов и заказывать программистов, при совсем уж фашистском режиме :\.

     
  • 2.35, Xasd (ok), 15:52, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Бандит(вор) должен сидеть в тюрьме.Когда уже примут всемирный закон сажать хакеров и их заказчиков?

    тогда уж нужен ещё и всемирный закон который бы велел выплачивать премию (из бюджета государств) за бажный код!

    чем глупее дыра -- тем больше денег за её внедрение! :-)

     

  • 1.40, Я (??), 16:46, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    а у меня только root может создавать новые исходящие соединения, так что, если сломают веб, а не весь сервер, вполне можно спать спокойно, еще в php отключаю функции: escapeshellarg, escapeshellcmd, ini_alter, parse_ini_file, show_source, symlink, shell_exec, syslog, system, exec, apache_setenv, chown, chgrp, closelog, define_syslog_variables, dl, ftp_exec, openlog, passthru, pcntl_exec, popen, posix_getegid, posix_geteuid, posix_getpwuid, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, posix_uname, proc_close, proc_get_status, proc_nice, proc_open, proc_open, proc_terminate, pcntl_alarm, pcntl_fork, pcntl_waitpid, pcntl_wait, pcntl_wifexited, pcntl_wifstopped, pcntl_wifsignaled, pcntl_wexitstatus, pcntl_wtermsig, pcntl_wstopsig, pcntl_signal, pcntl_signal_dispatch, pcntl_get_last_error, pcntl_strerror, pcntl_sigprocmask, pcntl_sigwaitinfo, pcntl_sigtimedwait, pcntl_exec, pcntl_getpriority, pcntl_setpriority.
    Особо на функционал моих пару сайтов это не влияет, если кто еще добавит по теме, буду рад.
     
     
  • 2.45, anonymous (??), 19:07, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/

    > Особо на функционал моих пару сайтов это не влияет
    > пару сайтов

    Все-таки про Джо - верный комментарий.

     
  • 2.57, Richkeeper (?), 22:18, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    А если отключить сервер полностью, его точно не взламают.
     
  • 2.131, Суровый Анонимус (?), 16:11, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    eval бы тоже не плохо запретить, а так же ini_set, если они не используются ни где.
     
     
  • 3.132, arisu (ok), 16:34, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > не плохо
    > ни где

    даже и не знаю: то ли плакать, то ли уже смеяться…

     

  • 1.41, Я (??), 16:52, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Забыл добавить, определяю для сайта php_admin_value open_basedir
    и ssh открыт только для определенного интерфейса и ip.
    через firewall закрыт доступ к админским папкам, типо:
    -p tcp --dport 80 -m string --algo kmp --string "/admin/index.php" -j DROP
    и стоит автоматических бан по ip при большом количестве новых запросов с одного ip.
    Схема не идеальна, но еще ни разу не сломали!
     
     
  • 2.42, angra (ok), 17:20, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Схема не идеальна, но еще ни разу не сломали!

    Про неуловимого Джо слыхал? :)


     

  • 1.43, Я (??), 18:00, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > Про неуловимого Джо слыхал? :)

    Где я и где Джо ))) Я поделился опытом и  надеюсь, что кто то тоже добавит еще инфы, в чем проблема то?

     
     
  • 2.51, arisu (ok), 21:34, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > в чем проблема то?

    в том, что ясли для умственно отсталых и погромистов на похапэ находятся в другом месте.

     
     
  • 3.86, ананим (?), 00:57, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    так вот кто опеннетом то рулит…
    зыж
    думаю в период повышенной магнитной активности стоит увеличивать дозу психотропных препаратов в стационарах.
     
  • 2.52, arisu (ok), 21:34, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    что, кстати, характерно (и подтверждает мой комментарий выше): ни умственно отсталые, ни погромисты на похапэ не знают, зачем тут ссылочка «ответить».
     

  • 1.46, Аноним (-), 19:31, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Странная новость. Причём тут Wordpress-то? Дефолтный пароль - это как поставить железную, крепкую дверь и оставить ключи в замке. Сам же виноват? Сам. Нет, нужно раздувать новость - массовый взлом дверей фирмы ***, взломанные квартиры используются для обогащения преступников!!!11адын.
     
     
  • 2.47, Xasd (ok), 19:38, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Причём тут Wordpress-то?

    вообще-то в WP присутствует дыра, позволяющая проверять эти пароли.

    если была бы там Капча (например ReCaptcha) -- то даже 123321 не факт что подобрали бы.

    впрочем капча не единтвенный механизм препятствующий подбору паролей. но в WP разве есть *хоть_какой-то* механизм от побдоров паролей?

     
     
  • 3.50, Аноним (-), 20:47, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > если была бы там Капча (например ReCaptcha)

    При этом враг уже внутри: каждый раз бложик стучит гуглю что некто приперся. Во зашибись.

     
     
  • 4.83, Sylvia (ok), 18:55, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    >> если была бы там Капча (например ReCaptcha)
    > При этом враг уже внутри: каждый раз бложик стучит гуглю что некто
    > приперся. Во зашибись.

    большинство бложиков и так стучат.. и не только гуглю, а еще куче сайтов, вордпрессы это такое дикое облако, которые грузят целую кучу левоты с других сайтов, и это не только сайты wordpress, google и соц сетей.. но бывает и много чего еще

     
  • 3.53, arisu (ok), 21:37, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    если из-за косорукости авторов движок будет спрашивать у меня капчу при входе в админку, то этот движок улетит на помойку быстрее, чем я успею договорить его название.
     
     
  • 4.64, Xasd (ok), 01:12, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > если из-за косорукости авторов движок будет спрашивать у меня капчу при входе в админку, то этот движок улетит на помойку быстрее, чем я успею договорить его название.

    ну ведь капчу можно спрашивать только для новеньких www-сессий ($_SESSION[]) и тех которые допустили провал при последней операции логина.

    образно говоря -- ввести внутри $_SESSION[] переменную, которая бы отвечала за репутацию. и поумолчанию эта репутация должна быть негативной.

     
     
  • 5.82, Sylvia (ok), 18:53, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    только вот беда, сессии живут обычно недолго, так что капчу будут спрашивать со всех при таком подходе, а увеличивать время жизни сессии тоже подход далеко не самый лучший
     
     
  • 6.142, Xasd (ok), 23:24, 03/05/2013 [^] [^^] [^^^] [ответить]  
  • +/
    как давно я тебя не видел в интернетах! уже соскучился!

    (нет, это не сарказм. я в правду)

     
  • 5.84, arisu (ok), 00:11, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    делать можно много чего. но так, чтобы я при работе капчи не видел.
     

  • 1.54, Sylvia (ok), 22:09, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    limit login attempts отловил штук 15 ip за последние 3 дня, почти столько же как за 2 месяца до этого, может и правда что-то ползает по интернету ;)
     
     
  • 2.60, Аноним (-), 23:44, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > что-то ползает по интернету ;)

    По нему всегда что-то ползает. Автоматическая активность - это такой фоновый шум. Ну, типа москитов. Кто не сделал прививку от малярии - сами виноваты.

     
     
  • 3.66, бедный буратино (ok), 02:39, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> что-то ползает по интернету ;)
    > По нему всегда что-то ползает. Автоматическая активность - это такой фоновый шум.
    > Ну, типа москитов. Кто не сделал прививку от малярии - сами виноваты.

    Можно ходить по сомнительным девочкам с тремя защитами. И все обсуждают защиты, придумывают, как лучше.

    А вариант "не ходить" почему-то не рассматривается. php с его "исполняю на месте" - unsecure by default, хоть ты тресни. Есть, конечно, способ для того же php-fpm, чтобы перечислить только все точки входа с их полными путями, чтобы исполняло только их - но это опять же, обходные средства, не лечат, а оттягивают. И чем дальше оттягивают, тем больше теряется времени на то, чтобы сделать то, что нужно - избавиться от php.

     
     
  • 4.81, Sylvia (ok), 18:43, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    не надо все усложнять, проблемы не в php, хотите еще сказочку про ботнет на ворд... большой текст свёрнут, показать
     
     
  • 5.85, arisu (ok), 00:14, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Так что приберегите помои приготовленные для PHP для иных целей…

    да, собственно, не столько похапэ поливаем, сколько похапистов. что очень удобно: по какому поводу в похаписта не плюнь, всё равно прав окажешься.

     
     
  • 6.89, бедный буратино (ok), 03:33, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > по какому поводу в похаписта не плюнь, всё равно прав окажешься.

    Точно. Мочить их надо!


     
  • 5.88, бедный буратино (ok), 03:33, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Проблемы в php В php очень большие, очень огромные и очень серьёзные проблемы ... большой текст свёрнут, показать
     
     
  • 6.90, arisu (ok), 03:40, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Есть такая хорошая книжка — Эрик Реймонд, «Искусство программирования в Unix». На
    > каждом уважающем себя столе она должна быть второй после

    …Кнута.

     
     
  • 7.91, бедный буратино (ok), 03:44, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> Есть такая хорошая книжка — Эрик Реймонд, «Искусство программирования в Unix». На
    >> каждом уважающем себя столе она должна быть второй после
    > …Кнута.

    Да и ремень сойдёт, мы же не звери.

    А Реймонд - это книжка лирическая, она понятна для всех.

     
     
  • 8.92, arisu (ok), 03:48, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Кнут тоже а если непонятен 8212 стоит подумать о смене профессии ... текст свёрнут, показать
     
     
  • 9.95, бедный буратино (ok), 04:08, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Для всех - это включая домохозяек и читателей природоведения для третьего класса... текст свёрнут, показать
     
     
  • 10.97, arisu (ok), 04:15, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    домохозяйкам это не надо, у домохозяек свои дела ... текст свёрнут, показать
     
     
  • 11.99, бедный буратино (ok), 04:16, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Как скучен был бы мир, если бы с домохозяйками нельзя было бы поговорить об особ... текст свёрнут, показать
     
     
  • 12.101, arisu (ok), 04:26, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    поговорить можно и со стеной, в принципе ... текст свёрнут, показать
     

  • 1.55, Richkeeper (?), 22:12, 14/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    И что за бредовая статья?
    Ну положили сервер запросами к примеру, но не захватили же.
    Ну получили доступ к админ-панели от админа и что? какие ботнеты? как из админ-панели они смогут загрузить что-то на сервер?
     
     
  • 2.56, slepnoga (??), 22:16, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > И что за бредовая статья?
    > Ну положили сервер запросами к примеру, но не захватили же.
    > Ну получили доступ к админ-панели от админа и что? какие ботнеты? как
    > из админ-панели они смогут загрузить что-то на сервер?

    кнопочка "Загрузить"; не, не слышал

     
     
  • 3.58, Richkeeper (?), 22:27, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    >> И что за бредовая статья?
    >> Ну положили сервер запросами к примеру, но не захватили же.
    >> Ну получили доступ к админ-панели от админа и что? какие ботнеты? как
    >> из админ-панели они смогут загрузить что-то на сервер?
    > кнопочка "Загрузить"; не, не слышал

    Ну загрузит кто-то много файлов, которые нельзя исполнить. Какие ботнеты то?
    Или может быть ботнеты в jpg или exl могут быть?

     
     
  • 4.59, Sylvia (ok), 23:31, 14/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    wordpress позволяет устанавливать плагины и редактировать .php скрипты плагинов и тем,
    так что залить вебшелл при наличии входа от админа труда не составляет.
     
     
  • 5.61, Richkeeper (?), 00:33, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > wordpress позволяет устанавливать плагины и редактировать .php скрипты плагинов и тем,
    > так что залить вебшелл при наличии входа от админа труда не составляет.

    Wordpress позволяет редактировать .php скрипты, если вебмастер разрешит, так что залить вебшелл при наличии входа от админа, просто не возможно.

     
     
  • 6.63, Sylvia (ok), 01:04, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Wordpress позволяет редактировать .php скрипты, если вебмастер разрешит, так что залить
    > вебшелл при наличии входа от админа, просто не возможно.

    да прям? настройки по умолчанию смотрели? ;) там все можно, а уж порог вхождения для того чтобы стать "вебмастером" сайтика на вордпрессе очень низкий, большинство из тех кто ставит парольки типа qwerty и настройки по умолчанию не меняли

     
     
  • 7.67, бедный буратино (ok), 02:45, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это неправда Я первые свои компьютеры, где писал на бейсике, собирал сам Я мог... большой текст свёрнут, показать
     
     
  • 8.79, Sylvia (ok), 18:04, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    по укрощению wp в плане производительности уйма статей, кешировать опкод, кешир... большой текст свёрнут, показать
     
     
  • 9.87, бедный буратино (ok), 03:24, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Кэшировать, кэшировать, кэшировать А всё от того, что все мы живём и умираем, н... большой текст свёрнут, показать
     
     
  • 10.93, Sylvia (ok), 03:49, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    уж как бы вы терпеть не могли PHP и решения на нем, статистика беспощадна я даж... текст свёрнут, показать
     
     
  • 11.94, arisu (ok), 03:56, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    а и не надо понятно, что народ любит всякое говно 171 зато все используют 1... текст свёрнут, показать
     
     
  • 12.100, бедный буратино (ok), 04:19, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Когда-то php был лучшим компромиссом Как и лошадь Как и мотыга И всегда были ... текст свёрнут, показать
     
     
  • 13.102, arisu (ok), 04:29, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    да не был родился говном и живёт говном вот зачем, например, там сигилы у пере... текст свёрнут, показать
     
  • 13.104, AlexAT (ok), 07:30, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Скажите честно, вы - луддит PHP - на самом деле даже не язык, а мегакомбайн К... текст свёрнут, показать
     
     
  • 14.107, arisu (ok), 07:46, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    в общем-то да жестоко, но правда ... текст свёрнут, показать
     
     
  • 15.110, бедный буратино (ok), 08:06, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это развитие ssi Которое пытаются применить там, где оно вообще не пришей блохе... текст свёрнут, показать
     
  • 14.108, бедный буратино (ok), 07:57, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    - Пан гетман, это шутка Я не верю - Я не шучу, Василий, я от сердца, от искрен... большой текст свёрнут, показать
     
     
  • 15.111, AlexAT (ok), 08:13, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    То есть вы считаете, что какой-то быдлосайт никому не известного автора из дегра... большой текст свёрнут, показать
     
     
  • 16.114, arisu (ok), 08:18, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    бизнес-логика на похапэ ну, в Кровавом Интерпрайзе и не такое возможно, да 82... текст свёрнут, показать
     
     
  • 17.115, AlexAT (ok), 08:19, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты не поверишь Ну, то что мне ближе - наиболее гибкие и удобные биллинговые сис... текст свёрнут, показать
     
     
  • 18.118, arisu (ok), 08:21, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    отчего же поверю Интерпрайз и разум больший антагонизм придумать сложно ... текст свёрнут, показать
     
  • 18.121, бедный буратино (ok), 08:30, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Пыхеры - это изобретатели колеса Изобретают то, что цивилизованному человечеств... большой текст свёрнут, показать
     
     
  • 19.122, бедный буратино (ok), 08:33, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Короче говоря, пыхер знает, как решить проблему, которая у нормального разработч... текст свёрнут, показать
     
  • 16.117, бедный буратино (ok), 08:21, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    opennet нормальный сайт, особенно два года назад и доводы вполне разумны у ph... большой текст свёрнут, показать
     
     
  • 17.125, AlexAT (ok), 09:32, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Потому, что из коробки там нет ничего В отличие от php Вот и приходится юз... текст свёрнут, показать
     
     
  • 18.127, arisu (ok), 09:45, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    а также потрясающая мощь авторов языка, исправляющих переполнение интов проверка... текст свёрнут, показать
     
     
  • 19.129, бедный буратино (ok), 09:49, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А как надо ... текст свёрнут, показать
     
     
  • 20.130, arisu (ok), 10:03, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    надо нормально i-то у них типа int видимо, для смеха ... текст свёрнут, показать
     
  • 18.128, бедный буратино (ok), 09:48, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Если до этого это казалось какой-то клоунадой абсурда, то теперь это воинствующа... текст свёрнут, показать
     
     
  • 19.133, AlexAT (ok), 20:01, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    С разморозкой ... текст свёрнут, показать
     
     
  • 20.134, бедный буратино (ok), 01:34, 17/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Появился И как я об этом узнаю В python и ruby модуль - это самодокументирован... текст свёрнут, показать
     
  • 21.135, AlexAT (ok), 07:13, 17/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А еще можно глаза закрывать, и ждать аудиоподсказок Не пробовал ... текст свёрнут, показать
     
  • 22.137, бедный буратино (ok), 08:26, 17/04/2013 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Если одна вещь делает что-то, а вторая вещь делает это удобнее - вторая намного ... текст свёрнут, показать
     
  • 23.138, AlexAT (ok), 19:09, 17/04/2013 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Тогда могу только предложить тебе начать с себя, и деградировать до амёбы, чтобы... текст свёрнут, показать
     
  • 24.139, бедный буратино (ok), 03:10, 18/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Уподобляетесь амёбе как раз вы У вас есть только крайности, есть нежелание дума... текст свёрнут, показать
     
  • 25.140, AlexAT (ok), 07:42, 18/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Бугага, я про python вообще ни слова не сказал В отличие от вас, обсирающего PH... текст свёрнут, показать
     
  • 26.141, бедный буратино (ok), 08:18, 18/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Кровь нашу пьёт, а сам всё дохлый ... текст свёрнут, показать
     
  • 21.136, arisu (ok), 07:15, 17/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    ох, лучше никак не узнавать мне не так давно случилось поработать с выхлопом эт... текст свёрнут, показать
     
  • 11.96, бедный буратино (ok), 04:12, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Я уже объяснял, как взялась эта статистика Это всё равно, что протестовать прот... текст свёрнут, показать
     
     
  • 12.103, AlexAT (ok), 07:22, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты очень похож на сексуальное меньшинство - тебя мало, ты любитель извращений, в... текст свёрнут, показать
     
     
  • 13.106, бедный буратино (ok), 07:46, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Меня много А наглость - второе счастье Серьёзные вебдевелоперы php не применяю... большой текст свёрнут, показать
     
     
  • 14.109, бедный буратино (ok), 08:05, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Кстати, теперь даже пыхеры осознают, что нужно писать на фреймворках скопиров... текст свёрнут, показать
     
     
  • 15.112, AlexAT (ok), 08:18, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    И не надо, тьфу-тьфу Ибо язык ныне уже универсальный, а не наколенное поделие д... текст свёрнут, показать
     
     
  • 16.116, arisu (ok), 08:20, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    вот хоть ты мне поясни тогда зачем в похапэ сигилы в sh это унарный оператор, ... текст свёрнут, показать
     
  • 16.120, бедный буратино (ok), 08:26, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Хм Вижу на python игрушки, несколько утилит, включая мелкие полезняшки, gajim, ... текст свёрнут, показать
     
     
  • 17.123, AlexAT (ok), 09:23, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И этим всё сказано 0 2 - игрушки и несколько утилит И то мелкие ... текст свёрнут, показать
     
     
  • 18.126, бедный буратино (ok), 09:42, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Этим сказано, что python - универсальный язык, а php - это переросток ssi ... текст свёрнут, показать
     
  • 11.98, бедный буратино (ok), 04:15, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Кстати, откуда взялся этот рейтинг Откуда оно знает, что вот эта страничка htt... текст свёрнут, показать
     
     
  • 12.113, AlexAT (ok), 08:18, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    С вероятностью 80 оно вообще не знает, что данные странички существуют ... текст свёрнут, показать
     
     
  • 13.119, бедный буратино (ok), 08:22, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Тогда php вообще не существует Потому что его нет в google, yandex и других поп... текст свёрнут, показать
     
     
  • 14.124, AlexAT (ok), 09:29, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Бизнес-логику трогать не будем - есть огромная масса энтерпрайза, часть из котор... текст свёрнут, показать
     

  • 1.62, Аноним (-), 00:38, 15/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Во всем виноват дырявый Линукс!
     
     
  • 2.68, бедный буратино (ok), 02:48, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > Во всем виноват дырявый Линукс!

    Анатолий Борисович фамилию, что ли, сменил?

     

  • 1.65, анон (?), 01:57, 15/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    и эти идиоты не сделали элементарную защиту от перебора паролей? ну какой человек сможет ввести 100 паролей в секунде?
    правильно, что их ломают
     
     
  • 2.71, бедный буратино (ok), 06:29, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > и эти идиоты не сделали элементарную защиту от перебора паролей? ну какой
    > человек сможет ввести 100 паролей в секунде?
    > правильно, что их ломают

    Загромождать код тем, что ему не свойственно - это усложнять схему, это отход от unixway. Такие вещи лучше делать на сервере или с помощью middleware, а не в самом коде.

     
     
  • 3.72, бедный буратино (ok), 06:30, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Загромождать код тем, что ему не свойственно - это усложнять схему, это
    > отход от unixway. Такие вещи лучше делать на сервере или с
    > помощью middleware, а не в самом коде.

    Кстати, как в php с простым и удобным добавлением middleware дела обстоят?

     
  • 3.73, arisu (ok), 08:01, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    я тебе страшный секрет открою: не надо реализацию ввода пароля отдавть «наружу». это не «unixway», это дебилизм.
     
     
  • 4.74, бедный буратино (ok), 08:56, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > я тебе страшный секрет открою: не надо реализацию ввода пароля отдавть «наружу».
    > это не «unixway», это дебилизм.

    Не реализацию ввода пароля. Контроль за перебором.


     
     
  • 5.75, arisu (ok), 09:03, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Не реализацию ввода пароля. Контроль за перебором.

    это, вообще-то, часть реализации. если у дятлов нет honeypot, нет рандомизации полей, нет time limit… ну, идиоты везде идиоты.

     
  • 2.80, Sylvia (ok), 18:10, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > и эти идиоты не сделали элементарную защиту от перебора паролей? ну какой
    > человек сможет ввести 100 паролей в секунде?
    > правильно, что их ломают

    в wordpress практически любой функционал добавляется плагинами
    http://wordpress.org/extend/plugins/limit-login-attempts/

    воть... 265 тыс загрузок

     
     
  • 3.105, AlexAT (ok), 07:31, 16/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    > в wordpress практически любой функционал добавляется плагинами
    > http://wordpress.org/extend/plugins/limit-login-attempts/
    > воть... 265 тыс загрузок

    Еще бы неплохо, конечно, эти плагины перед добавлением анализировать - но 99% юзеров вордпресса этого не умеют, а потому - качество популярных плагинов вполне эквивалентно результату...

     

  • 1.77, vovans (ok), 12:20, 15/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    хорошо что я с WP ушёл ещё в далёком 2009-м.... ))))
     
  • 1.78, Аноним (-), 17:52, 15/04/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    http://mezzanine.jupo.org/
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру