Diemžēl nekas sīkāk nav zināms, izņemot to, ka Dell to ir oficiāli atzinis un ievainojamas ir tikai Win operētājsistēmas.

Līdzīgs atgadījums, manuprāt, bija kādu gadu atpakaļ, kad HDD ražotājs jau no rūpnīcas piegādāja cietos diskus ar tajos ielādētu vīrusu vai ko tamlīdzīgu.

Principā tagad jau jākļūst par paranoiķi… Kam lai vēl uzticas, ja jau Dell arī gadās šādi brāķi?

Kā šādu ievainojamību var izmantot tehniski biju atradis netā un pārpublicēju šeit.

Tā kā teorija un citu piemēri no prakses atšķiras, tad nodomāju patestēt.

Linux gadījumā tas varētu izskatīties šādā veidā:

for i in {1..7500000}; do
wget http://www2.vid.gov.lv/eds/Pages/GetDuf.aspx?id=$i;
done

Bet tā kā mājās stāv W7, un no LiveCD ielādēties ir slinkums izvēlējos garāko ceļu.

wget komandai ir arī windows alternatīva, kuru var atrast GNU lapā.

Pēc instalēšanas un notūnēšanas, lai to varētu palaist no jebkuras vietas var ķerties pie nākamā soļa- atrast mājaslapu, kurā ir līdzīga ievainojamība.

Otrs un pareizākais variants būtu radīt šādu ievainojamību kādā savā lapā un tad testēt, bet šoreiz atzīšos, esmu par slinku.

Pēc dažām minūtēm tika atrasta diezgan lielas iestādes lapa, kurā ir līdzīgs gadījums. Pēc http://……lv/file.php?id=, id lauka vērtībā mainot vērtības tiek piedāvāts nolādēt dažādus failus.

Lielākā daļa no testā atklātiem dokumentiem (daži bija php faili, kurus diez vai admins vēlējās, lai varētu nolādēt) ir arī brīvi pieejami no mājaslapas, tā kā uzskatu, ka tā ir funkcionalitāte, nevis trūkums

Mājaslapas adrese ir izmainīt, lai kārtējais tīnis neapciemo šo lapu un …..

Nu tad pie testa un rezultātiem.

Lai wget un for cikls strādātu uz win, tas ir jāmodificē- man sanāca šāds brīnums:

for /l %%i in (1,1,1000) do (wget -r “http://……..file.php?id=%%i”)

Izskatās easy, bet..

visi iegūtie faili ir nevis nosaukums.paplašinājums, bet:

.file.php?id=1

.file.php?id=2

.file.php?id=3, utt

Ja zinātu, ka visi nolādētie faili ir viena tipa, piemēram, *.doc, tad varētu vienkārši visus pārsaukt par *.doc un lietot laimīgs.

Bet problēma ir tajā, ka starp šiem failiem ir gan pdf, php, doc un sazin vēl kas.

Meklēju risinājumu šai problēmai iekš googles, bet neko prātīgu neatradu. Daudzi ir uzdevuši šādu jautājumu, bet nevienam nebija atbilde.

Vienīgais, ko atradu ir izmantojot -o mainīgo noteikt uzreiz faila nosaukumu, bet šāds piegājiens der tikai, ja tiek nolādēts viens fails un jau ar zināmu paplašinājumu. For ciklā tas nestrādā.

Kāds ir secinājums?

Nolādēt failus ir gaužām vienkārši arī praksē, tikai pēc tam var nākties izlabot failu paplašinājumu.

Manuprāt, problēma slēpjas tajā, ka šādā veidā notiek redirekts uz no file?id uz konkrētu failu, kuru wget programa nespēj korekti paņemt pretī.

Un te seko nākamais pārsteigums- pods izsmiets.

Nu ko vēsture atkārtojas..

Pods jau vienreiz tika nonests un cik atceros toreiz autoram bija paša radīts brīnums, bez rezerves kopijām. Tagad Pods griežas(zās) uz wordpress- vai bija mācība un ir rezerves kopija uzzināsim visai drīz.

Man pašam arī pāris mēnešus atpakaļ bija nonests wordpress izmantojot wordpress ievainojamību. Kas par iemeslu bija iekš pods.lv būs interesanti noskaidrot un cerams autors neturēs sveci zem pūra. Varbūt nebija atjaunota pēdējā versija, varbūt kaut kas cits.

Iekš LV ik pa laikam kāda lapa tiek nonesta, taču neesmu dzirdējis ne par vienu sekmīgi pabeigtu izmeklēšanu un notiesājošu spriedumu. Gaidu precedentu, lai tīņi urķi nobītos un beigtu bojāt citiem garastāvokli.

Uzstādīts arī interesants redirekts uz www.kuce.lv, kas liek domāt, ka vainīgais mitinās iekš LV

No sava Hackera neaizbēgsi .

Palika interesanti..
Lasu tālāk iekš boot, ka ļaundari ir izmantojuši kādu openx ievainojamību un mājaslapā ievietojuši ļaundabīgu kodu, bet tagad viss ir ticis sakopts.

Būtu interesanti, ja Boot būtu nopublicējis kā viss tas notika un kādā veidā un ko ļaundari tieši ievietojuši un no kādām adresēm. Būtu labs un pamācošs rakstiņš.

Zelta teiciens sevi attaisno- No sava Hackera neizbēksi, tāpēc taisām rezerves kopijas

for i in {1..7500000}; do
wget http://www2.vid.gov.lv/eds/Pages/GetDuf.aspx?id=$i;
done

Šis piemērs parāda veidu kādā šādas ievainojamības izmantot un attiecīgi modificējot piedzīt arī citiem nedarbiem.

Raksta kopija:

Kāds Ron Bowes lejupielādējis, sistematizējis un publiskojis Facebook publiskās daļas ievērojamu daudzumu lietotāju datus.
Ja nekļūdos, tad savākti ir tikai tie lietotāju dati, kuru saturēja tikai latīņu burtus.

An additional limitation is that these are only users whose first characters are from the latin charset. I plan to add non-Latin names in future releases.

Lejupielādētie dati tika saarhivēti bz2 datņu formātos un publicēti izmantojot BitTorrent.

Lejupielādējot 2.79 GiB datņu kopu, jebkurš iegūst šādas datnes:

Filename Description
-------------------------------------------------------------------------
facebook.rb The script used to generate these files (v1)
facebook.nse The script that will be used for the second pass (v2)
facebook-urls The full URLs to every profile
facebook-names-original All names, including duplicates
facebook-names-unique All names, no duplicates
facebook-names-withcount All names, no duplicates but with a count
facebook-firstnames-withcount All first names (with count)
facebook-lastnames-withcount All last names (with count)
facebook-f.last-withcount All first initial last name (with count)
facebook-first.l-withcount All first name last initial (with count)

Manuprāt, interesantākie ir facebook-urls (URL no izmantotajiem lietotājiem) un visi vārdi un uzvārdi.

No šīm datnēm var izveidot svaigu un aktuālu (!) vārdnīcu (wordlist) - paroļu, hash utml piemeklēšanai.

Jāpiezīmē, ka atarhivējot kādu no bz2 datnēm, to izmērs var sasniegt vairākus GiB tīra teksta, piemēram, facebook-urls.txt.bz2 ~1.3 GiB būs ~9.7 GiB.
Datņu atvēršanai jāizmanto tādas programmas, kas spēj tādu datu apjomu atvērt pakāpeniski.

Saite uz torrent datni: Facebook directory - personal details for 100 million users (download torrent) - TPB
Saite uz Ron Bowes bloga ierakstu: SkullSecurity » Blog Archive » Return of the Facebook Snatchers.

P.S. Kurš pirmais publicēs analoģiskus datus par draugiem.lv?

Ko tieši darīt ar šo info nezinu, bet kā saka, lai ir informācija- kā to pielietot izdomāsim.
Kā arī liek aizdomāties par publiskā telpā pieejamās informācijas nekaitīgumu.. jo kas Tev liekas nekaitīgs kādam var izrādīties medusmaize.

Cik noprotu lapa ir vienkārši nonesta, līdzīgi kā atgadījās ar mani un daudziem citiem.

Interesanti būtu uzzināt chrysler adminu novērojumus un veidu kā tas tika izdarīts, bet kā parasti par to tiks noklusēts

Ņemot vērā, ka lapa tika atjaunot vismaz rezerves kopija viņiem bija. Par to arī prieks.

Tas sastāvēja no 5 soļiem:

• Uztaisām lapas pilnu rezerves kopiju (mysql un failu),
• Nolādējam jauno wordpress un to atarhivējam,
• Izdzēšam wp-includes un wp-admin direktoijas,
• kopējam pa virsu jaunos failus (izņemot wp-content direktoriju!!! tai jāsaglabājas vecajai),
• Pirmo reizi logojoties administrēšanas panelī piedāvā izmainīt datubāzes struktūru, to izdarām.

Atjaunināšanas process ir beidzies veiksmīgi.

Ērtāk noteikti būtu izmantot automātisko atjaunināšanas fīču- tiem, kas nav nogriezuši apache lietotājam tiesības rakstīt/dzēst.

Uz ātro nekādas lielas izmaiņas neredzu, ja nu vienīgi administrēšanas panelī background no tumši pelēka ir pārvērties gaiši pelēkā un apziņa- lietoju jaunāko

Papildinājums- aiz intereses sameklēju, kas tad ir īsti jauns 3.0 versijā un kā izrādās ļoti daudz un būtiskas izmaiņas, no kurām man šķita svarīgākās:

• izvēlēties lietotājvārdu instalācijas laikā- jo pēc tam nav jāveido jauns lietotājs un jādzēš ārā admin,
• plašākas pielāgošanas iespējas, kas samazina nepieciešamību labot wordpress failus manuāli (kas man ļoti kaitināja salīdzinot wordpress ar joomlu, kur gandrīz visu varēja izdarīt nelienot pašā kodā).

Tēma likās interesanta un izdomāju to mazliet papētīt…

Kas tad bija it kā izdarīts?

1. Hackers it kā piekļuva viņas kontam un publicēja “privātu” foto.

2. Viņa pēc 8 min. to pamanīja un bildi izdzēsa.

Kas šajā stāstā neiet kopā?

1. Pasākums notika pa nakti un diez vai cilvēks var dažu minūšu laikā pamanīt nesankcionēti publicētu info (kaut gan visādi var būt).

2. Apskatot foto Efix izrādās, ka foto ir uzņemts dažas minūtes pirms pirms tā publicēšanas ar BlackBerry 9000.

3. Apskatot bildi var izdarīt secinājumu, ka pati sevi arī ir bildējusi.

Exif properties apskatīju pats- varat pārliecināties par to, apskatot bildes oriģinālu.

Šo pasākumu neatklāju es, bet par to izlasīju te un vēlējos to pārbaudīt.

Kas ir Exif var palasīt te.

Protams saglabājas iespēja, ka hackers pirms bildes publicēšanas ir izmainījis Exif datus, bet tas jau izklausās baigi sarežģīti.

Nelielu ieskatu BlackBerry pasaulē var iegūt Aivara apskatā te.

Gala secinājums.

Šis gadījums vairāk izskatās pēc mārketinga trika, neveiksmīgas kļūdas pievienojot attēlu vai netīšām nosūtot nepareizam adresātam un cenšoties sevi attaisnot piesauca hacker vārdu.

Biju jau piemirsis cik daudz interesantas un noderīgas informācija var sniegt foto

Par twiter hakošanu-

Googlē lielākā pieejamā informācija ir par lietotājvārda un paroles Brute force.

Otrā iespēja ir izmantojot kaut kādu exploitu, kuru man neizdevās atrast vai arī “twiter DNS ievainojamību“, lai publicētu nepatiesu informāciju.