http://csokavar.hu/hacking/webshop/count.php?c=2

Ez egy blind sql feladat, kis csavarral. Aki először megmondja az admin felhasználó jelszavát, kap egy… gratulációt. Aki még nem látott ilyesmit, annak  meg valószínűleg nehéz dolga lesz…

Szeretném ugyanis újraírni az egész gekkó mögött levő motort, a nevetséges php-t kihagyva a dologból. Nehéz karbantartani, és őszintén szólva semmi kedvem sincs egy olyan nyelven bűvészkedni, amihez az IDE-t úgy hívják, hogy notepad++.

Éppen ezért a hét végével leállítom az oldalt. Az adatbázist és a logokat elteszem szebb napokra. Aztán nekilátok az újratervezésnek.

Mit szeretnék?

Felpörgetni a dolgokat. Mindenek előtt szeretném több nyelven is látni a feladatokat. Angolul mindenképp, de a magyart is megtartanám. Egy jól kidolgozott hint rendszert kell még bevezetni, emellett azon is gondolkozom, hogy az eddigi vertikális feladat kiosztás (a következő feladathoz előbb meg kell oldanod az aktuális feladatot) helyett áttérjek horzontálisra (minden feladat elérhető). A kettő kombinációja is szóba jöhet. Lehetne például feladattípusonként egy-egy feladat elérhető az elején, vagy nehézség szerint előbb a könnyű feladatok, aztán a közepesek stb.

Ha mindez megvan, akkor jelentkezhetünk a wechall.net és hasonló listákra, és eleve több esélyem lesz népszerűsíteni a dolgokat.

A nagyobb nyilvánossággal természetesen együtt jár a csalók és az oldalt feltörni próbálók száma is. Így egyrészt valamilyen szinten személyre szabott feladatok kellenek, másrészt tisztességes és mélyreható logolás, behatolás figyelés….

Sok munka ez, de szívesen eljátszom vele. Ez most a terv. Majd meglátjuk mikorra valósul meg…

Kíváncsi leszek, hogy lesz-e olyan ügynök, aki ezt az utolsót is megtudja oldani. Szerintem nehéz. Programozós feladról van szó, és egy fékeveszett botnetet kell benne megállítani.

Sok sikert Maya! (Ő az egyetlen 8-as szintű játékos :)))

Ezért aztán nagy hirtelen elkészítettem a Gekkó API-t. A dolog kétféleképpen használható, egyrészt egy iframe segítségével pikk-pakk weboldalunkba ágyazhatunk egy ilyen csillivilli izét:

Másrészt, akinek ez nem tetszik, az adatokat XML-ben is kinyerheti. Például így:

http://gekko.csokavar.hu/info.php?name=encse&type=xml

Gyönyörű nem?

Az egész mögött természetesen az a hátsó szándék, hogy így majd egyre-másra születnek az értékesebbnél értékesebb linkek a gekkóra, amivel hirtelen meglódul a dolog népszerűsége. Jó, jó… tudom, hogy nem fog, de legalább én mindent elkövetek az ügy érdekében :)

Képzeljék, itt a gekko regisztrációs captchájának megoldásáról beszélgetnek. Ez egyébként 126 és 588 legkisebb közös többszörösének meghatározásából áll, nem valami bonyolult dolog.

Na jó, tudom én, hogy csinálhattam volna valami bonyolultabb captchát is, de a fene se gondolta, hogy lesz olyan primitív véglény, aki nem tudja kiszámolni magától és az interneten kezd el utána keresgélni…

Pedig volt is ebből pár bejövő találat ide a blogra, és írtam is róla korábban. Akkor kitaláltam, hogy milyen jófejség lenne, ha egy kis meglepetést rejtenénk a dologba, és az említett bejegyzésben megadtam egy hibás eredményt, a regisztrációs oldalba pedig beleírtam, hogy ha valaki ezt adja meg válasznak, akkor írjon ki valami olyasmit, hogy “intereneten keresgélünk? ejnye-bejnye”.

Hát így.

Az egészből a tanulság az, hogy egyrészt dinamikus captcha kell. Másrészt CsGábor egy büdös görény, aki többszöri felszólításra sem moderálja ki a Wikipédiából a másoktól lopott szellemi terméket. Köszönjük Gábor! Ön igazi magyar ember.

Gondolkodós feladatnak szántam és remélhetőleg az is lesz. Dávidon teszteltem, de nem tudta megoldani… :)

A részleteket persze megint nem tárgyalhatjuk itt ki, de annyi baj legyen. Aki akarja, az úgyis megnézi magának.

Szeretném ha tudnák, hogy nekem ez komoly elismerésnek számít.

És hogy miről is szól a hetedik? Ez az utolsó hackelős feladat. A szokásos Encsé-fricskával ezúttal egy banki adathalász banda nyomába kell eredni, és tradícionális hacker módszerekkel információkat szerezni róluk. Nem nevezném túl nehéz feladatnak, de azért a “moderate” minősítést mindenképp megérdemli.

Nyilvánvaló okokból itt sajnos nem tárgyalhatjuk ki a részleteket, de játsszanak gekkót! Cactus pedig reszkessen a nyolcadik és kilencedik pályától, mert az nem lesz sétagalopp :)

Egyébként a héten elég jól beindult a Gekkó. Egész pontosan azóta, hogy felkerült a Buhera blogra. Hálás is vagyok érte egy link erejéig

Rémálom baszki.

Gondos házigazda lévén, rendszeresen nézegetem az oldalaimat, hogy minden rendben van-e, nem kell-e valami hozzászólást kimoderálni stb. Vasárnap feltűnt valami kis apróság. A böngészőm a csokavar.hu főoldalán valami ismeretlen add-in-t akart futtatni. Márpedig én ilyet nem írtam sehova. Aztán nézem a forrást, és 500-600 üres sorral a fájl általam gondolt vége után találtam egy ilyet:

Szoktam ronda kódot írni, de azért ez… 

Kiderült, hogy fenti szutyok valami Hong Kongi gépről (58.65.238.60) próbál egy vírust letölteni a látogató gépére.

Aztán elkezdtem a logokat böngészni, míg az FTP logban a következőre nem bukkantam:

Ugyanaz a Hong Kongi IP, közvetlen a másik mellett.

Szóval valaki lenyúlta az FTP jelszavamat, és ahogy sejtem, arra használta fel, hogy ugyanezt a jelszólopó trójait terjessze az oldalaimon.

A neten találtam egy fórumot, ahol egy hasonló támadást elemeznek (http://pouet.net/topic.php?which=5006&page=1). Itt az ‘én’ scriptem egy másik mutációját elemzik. Szerintük az egész mögött a Russian Business Network áll, ami a wikipedia leírása alapján nagyjából a maffia. hátafaszom.

Tegnap jelszavakat váltogattam (bankos, céges, stb.  el lehet képzelni…) Ma meg egész nap a gépet pucolgattam, de ez tisztának tűnik. Azt gondolom, hogy az otthoni, régi gépemen lesz a trójai, de ez a hétvége előtt nem fog kiderülni.

És az egészben nem is az fáj, hogy engem meghackeltek, mert előfordul az ilyesmi. De a büdös kurva életbe már: a szájbavert zsonglőr oldalamra töltik fel az ótvar szutykukat, hogy az arra tévedő gyerekek gépére másszon fel az a szemét.

Én sose voltam a halálbüntetés ellen: le kéne géppuskázni az egész baszott bagást, úgy ahogy van, aztán nézegethetnek.

Egyelőre nem fogom agyonreklámozni az URL-ot, aki akarja úgyis megtalálja.