Category Archives: Drošības caurumi

Lejupielādēti un sistematizēti ap 100 miljonu facebook lietotāju datu

Blackhalt blogā pamanīju rakstu par facebook lietotāju publiski pieejamās informācijas apkopošanu. Raksts ar visiem torentu linkiem pieejams šeit http://blackhalt.blogspot.com/2010/08/lejupieladeti-un-sistematizeti-100.html

Raksta kopija:

Kāds Ron Bowes lejupielādējis, sistematizējis un publiskojis Facebook publiskās daļas ievērojamu daudzumu lietotāju datus.
Ja nekļūdos, tad savākti ir tikai tie lietotāju dati, kuru saturēja tikai latīņu burtus.

An additional limitation is that these are only users whose first characters are from the latin charset. I plan to add non-Latin names in future releases.

Lejupielādētie dati tika saarhivēti bz2 datņu formātos un publicēti izmantojot BitTorrent.

Lejupielādējot 2.79 GiB datņu kopu, jebkurš iegūst šādas datnes:

Filename Description
-------------------------------------------------------------------------
facebook.rb The script used to generate these files (v1)
facebook.nse The script that will be used for the second pass (v2)
facebook-urls The full URLs to every profile
facebook-names-original All names, including duplicates
facebook-names-unique All names, no duplicates
facebook-names-withcount All names, no duplicates but with a count
facebook-firstnames-withcount All first names (with count)
facebook-lastnames-withcount All last names (with count)
facebook-f.last-withcount All first initial last name (with count)
facebook-first.l-withcount All first name last initial (with count)

Manuprāt, interesantākie ir facebook-urls (URL no izmantotajiem lietotājiem) un visi vārdi un uzvārdi.

No šīm datnēm var izveidot svaigu un aktuālu (!) vārdnīcu (wordlist) - paroļu, hash utml piemeklēšanai.

Jāpiezīmē, ka atarhivējot kādu no bz2 datnēm, to izmērs var sasniegt vairākus GiB tīra teksta, piemēram, facebook-urls.txt.bz2 ~1.3 GiB būs ~9.7 GiB.
Datņu atvēršanai jāizmanto tādas programmas, kas spēj tādu datu apjomu atvērt pakāpeniski.

Saite uz torrent datni: Facebook directory - personal details for 100 million users (download torrent) - TPB
Saite uz Ron Bowes bloga ierakstu: SkullSecurity » Blog Archive » Return of the Facebook Snatchers.

P.S. Kurš pirmais publicēs analoģiskus datus par draugiem.lv?

Ko tieši darīt ar šo info nezinu, bet kā saka, lai ir informācija- kā to pielietot izdomāsim.
Kā arī liek aizdomāties par publiskā telpā pieejamās informācijas nekaitīgumu.. jo kas Tev liekas nekaitīgs kādam var izrādīties medusmaize.

Uzlauzts Chrysler.lv

Šodien pamanīju, ka uzlauzta Chrysler.lv mājaslapa un lai saglabātu piemiņu par šo atgadījumu ierakstīšu nelielu post.

Cik noprotu lapa ir vienkārši nonesta, līdzīgi kā atgadījās ar mani un daudziem citiem.

Interesanti būtu uzzināt chrysler adminu novērojumus un veidu kā tas tika izdarīts, bet kā parasti par to tiks noklusēts :)

Ņemot vērā, ka lapa tika atjaunot vismaz rezerves kopija viņiem bija. Par to arī prieks.

Uzlauzta “Mežavairogu” mājaslapa.

“Degpunktā” 21. maijā (2010) bija sižets par uzlauztu “Mežavairogu” (zoo, atpūta, dzīvnieku patversme) mājaslapu.

Uzbrucējam bija izdevies izmainīt publicējamo informāciju un tajā atspoguļot rupjības.

“Interesants” šajā sižetā šķita tas, ka uzbrucējs pirms tam bija nosūtījis paviršu epastu ar piedāvājumu nomainīt Hosting servisu, jo patreizējais neesot drošs. Continue reading

Hackeri uzbrūk vai gadās arī tā

Vakar izdomāju sakārtot savu WEB saimniecību un izdzēst uz servera aktualitāti zaudējušas lietas- dažādas testa lapas, izstrādes vides, utt.

Tā kā esmu jau aizmirsi, kas man tikai nestāv atveru FTP klientu, lai paskatītos direktoriju saturu.

Identificēju trīs izstrādes lapas, kuras jau ir nodotas un tātad tās var dzēst ārā. Tā kā miglaini atceros, kuras tās bija, tad ar lielu interesi ievadu pirmo:

http://dll.lv/test

Un mani sagaida brīnums :)

Neliels pārsteigums… Continue reading

Drošības caurums CSDD un Parex mājaslapā

Kā ziņo Defacto CSDD datubāzē ir tieši tāds pats caurums, kā VID EDS sistēmā, kad mainot pieprasījuma numuru ir iespējams apskatīt citu lietotāju automašīnas datus.
Parex bankas gadījumā ir iespējams izmainīt attēlojamo informāciju Parex mājas lapā.
Interesanti gan liekas fakts, ka banka it kā esot vairākkārt informēta par šo caurumu, tomēr nekāda rīcība nav sekojusi.
Raidījuma atkārtojumu var noskatīties youtube.

Nozagtas Facebook lietotāju paroles

Kā ziņo ABCnews.com Krievu hakerim ir izdevies nozagt Facebook lietotāju lietotājvārdus un paroles, kā arī viņš piedāvā tās iegādāties par 0,25$ vai 0,45$ (ja konkrētam lietotājam ir vismaz 10 draugu) gabalā.

Diemžēl (kas mai vairāk intresē) netiek ziņots kādā veidā viņam izdevies tās iegūt. Continue reading

Kapitals.lv

Šodien atverot kapitals.lv tai vietā, lai ieraudzītu svaigu informāciju tika attēlota datubāzes apstrādes kļūdu.
Lai arī šis konkrētais gadījums nesniedz diezko lielu noderīgu informāciju par kapitāla mājas lapas uzbūvi vai datubāzes struktūru, tomēr vieš pamatotas cerības, ka paurķējoties tajā varētu ieraudzīt vēl daudz interesantāku informāciju.
Tāpēc šis būtu īstais mirklis, lai atcerētos, ka produkcijas serveri un aplikācijas nedrīkst izvadīt informāciju par apstrādes un citām kļūdām (kļūdu iemeslus, numurus, paskaidrojumus, utt). To var darīt tikai uz testa vai izstrādes sistēmām.
Kāpēc tas vajadzīgs?
Jo no šādiem paskaidrojumiem bieži var sazīmēt pašas aplikācijas versiju, uzbūvi vai aizsardzības mehānisma darbību, kas savukārt var novest pie potenciālo ievainojamību atklāšanas un tās izmantošanas.

No drošības un lietojamības viedokļa labākais risinājums konstatējot sistēmas apstrādē kļūdu attēlot iepriekš sagatavotu lapu, piemēram, Atvainojiet notikusi sistēmas kļūda, labojam, drīz būsim atpakaļ.

Tāpēc neatvieglosim urķiem dzīvi un darām lietas pareizi :) .

No VID EDS tiek nopludināta informācija

Principā ārprāts! Ja neteikt ko vairāk.

Iztērējot  miljons latu par drošības pārbaudēm un nepamanīt šādu vienkāršu drošības caurumu?

No sabiedriskos mēdijos pieejamās informācijas var spriest, ka starptautisko auditorfirmu(Ernst & Young Baltics, KPMG Baltics) kompetence ir nožēlojama- neatrast ievainojamību kuru spētu atrast jau mazliet zinošāks students..

Intersantākais tajā ir tas, ka ir aizdomas uz speciāla šāda cauruma izveidi no izstrādātāja (pēc pasūtītāja lūguma) un tas, ka VID vadītāja un VID Informātikas pārvaldes direktore nezināja par tik liela incidenta un par tā attīstību? Smieklīgi…, kur var tā melot? Continue reading

Par drošības caurumiem

Sen jau gribējās uzsākt statistikas apkopošanu par LV IT reģistrētiem incidentiem, bet vienmēr pietrūka laika.

Incidents ar VID bija kā atspēriens..

Tāpēc šajā sadaļā mēģināšu apkopot to, kas izskan masu mēdijos.