Модуль мульти загрузки БЕЗ браузера в 10 потоков!
11 мая 2011 г.
15 мая 2011 г.
16 мая 2011 г.
irbiss,
Ну так у нас ведь С браузером и не в 10 потоков.
Ну так у нас ведь С браузером и не в 10 потоков.
16 мая 2011 г.
irbiss писал(а):
--- и совсем бесплатно))))
Мой модуль в 10 потоков БЕСПЛАТЕН, БЕСПЛАТЕН, БЕСПЛАТЕН для использования.
16 мая 2011 г.
16 мая 2011 г.
16 мая 2011 г.
16 мая 2011 г.
17 мая 2011 г.
17 мая 2011 г.
lesha_firs, вот почитал ваше последнее сообщение, и мне аж как-то неудобно стало - в 21 год должно быть стыдно столь безграмотно писать на родном языке. 
Даже если вы с Дальнего Востока.
Ну да это так, лирическое отступление.
Я тут скачал ваш бесплатный архив. Посмотрел ту часть, которая на php, запустил ту которая exe.
Общая оценка - плохо.
Виндовый клиент не спрашивает логин и пароль от админки, серверный компонент никак не проверяет источник переданных данных.
То есть в результате этот php-файл создает дыру в безопасности системы.
Концепция эксплойта примерно следующая:
Наличие файла на сервере легко определяется - обращение к нему по url через браузер возвращает пустую страницу и HTTP-код 200.
Отсутствие в php-файле авторизации и проверки подлинности данных позволяет добавлять любому постороннему человеку любые файлы в любую группу любой инфосистемы на сайте.
То есть тупо сэмулировать GET-запрос (о боже! GET!), получить список инфосистем, следующим запросом получить список их групп, и следующим запросом послать на сервер любую гадкую картинку!
Например заспамить чьи-то новости порнушкой
В 10 потоков и без браузера! 
Эмуляция запросов сложности не вызывает - структуру данных можно почерпнуть из вашего же файла, и из любого релиза HostCMS Халява.
Следующий шаг в дестрое - определить какие еще сайты хостятся на том же экземпляре HostCMS (по IP и заголовкам в HTTP-ответе) и напакостить уже сразу на всех сайтах, которые крутятся на этом экземпляре HostCMS
Ну как, клевый у вас загрузчик, правда?
Спрячьте его подальше, пожалуйста, хотя бы пока не доработаете защиту.
А то ведь кто-нибудь скачает и огребет проблем потом...
С уважением, Евгений.
Даже если вы с Дальнего Востока.Ну да это так, лирическое отступление.
Я тут скачал ваш бесплатный архив. Посмотрел ту часть, которая на php, запустил ту которая exe.
Общая оценка - плохо.
Виндовый клиент не спрашивает логин и пароль от админки, серверный компонент никак не проверяет источник переданных данных.
То есть в результате этот php-файл создает дыру в безопасности системы.
Концепция эксплойта примерно следующая:
Наличие файла на сервере легко определяется - обращение к нему по url через браузер возвращает пустую страницу и HTTP-код 200.
Отсутствие в php-файле авторизации и проверки подлинности данных позволяет добавлять любому постороннему человеку любые файлы в любую группу любой инфосистемы на сайте.
То есть тупо сэмулировать GET-запрос (о боже! GET!), получить список инфосистем, следующим запросом получить список их групп, и следующим запросом послать на сервер любую гадкую картинку!
Например заспамить чьи-то новости порнушкой
В 10 потоков и без браузера! Эмуляция запросов сложности не вызывает - структуру данных можно почерпнуть из вашего же файла, и из любого релиза HostCMS Халява.
Следующий шаг в дестрое - определить какие еще сайты хостятся на том же экземпляре HostCMS (по IP и заголовкам в HTTP-ответе) и напакостить уже сразу на всех сайтах, которые крутятся на этом экземпляре HostCMS
Ну как, клевый у вас загрузчик, правда?
Спрячьте его подальше, пожалуйста, хотя бы пока не доработаете защиту.
А то ведь кто-нибудь скачает и огребет проблем потом...
С уважением, Евгений.
