Коментарі для запису: Уразливість на 3s.kiev.ua http://websecurity.com.ua/4407/ Wed, 22 Apr 2026 02:59:34 +0000 http://wordpress.org/?v=MustLive Edition від: MustLive http://websecurity.com.ua/4407/#comment-330624 Thu, 29 Jul 2010 12:56:56 +0000 http://websecurity.com.ua/4407/#comment-330624 Молодец ;-). Естественно стоило быстрее найти этот движок, который идентичный движку на другом сайте этой компании (как я тебе говорил 1,5 суток назад), но при должном упорстве всё находится. Что ты и сделал. Молодец ;-) . Естественно стоило быстрее найти этот движок, который идентичный движку на другом сайте этой компании (как я тебе говорил 1,5 суток назад), но при должном упорстве всё находится. Что ты и сделал.

]]> від: РУДИМЕНТ http://websecurity.com.ua/4407/#comment-330578 Wed, 28 Jul 2010 23:07:52 +0000 http://websecurity.com.ua/4407/#comment-330578 Наконец-то нашел)) обычно занимает меньше времени, а тут даже спортивный интерес разыгрался)) Наконец-то нашел)) обычно занимает меньше времени, а тут даже спортивный интерес разыгрался))

]]> від: MustLive http://websecurity.com.ua/4407/#comment-330571 Wed, 28 Jul 2010 18:21:59 +0000 http://websecurity.com.ua/4407/#comment-330571 Как в папке админа (бэкэнд движка), так и вне её (фронтэнд движка). Так что найди внешнюю часть движка и ты найдёшь дыры :-) (по этому поводу я уже ранее дал тебе подсказку). <blockquote>но там я не нашел дыр…надо посмотреть лучше)</blockquote> Дыры там есть. Как непосредственно внутри админки (движок, как я уже говорил, дырявый), так и даже в форме логина в админку. Если ты в этой форме SQLi не нашёл, то замечу, что там есть другая дыра - Brute Force (которую я уже давно нашёл в этом движке, а как только что я проверил - в этой форме есть и SQLi ;-), т.к. на сайте отключены mq, так что дыр там хватает). Так что ищи и помни, что кто ищет, тот всегда найдёт. Как в папке админа (бэкэнд движка), так и вне её (фронтэнд движка). Так что найди внешнюю часть движка и ты найдёшь дыры :-) (по этому поводу я уже ранее дал тебе подсказку).

но там я не нашел дыр…надо посмотреть лучше)

Дыры там есть. Как непосредственно внутри админки (движок, как я уже говорил, дырявый), так и даже в форме логина в админку. Если ты в этой форме SQLi не нашёл, то замечу, что там есть другая дыра - Brute Force (которую я уже давно нашёл в этом движке, а как только что я проверил - в этой форме есть и SQLi ;-) , т.к. на сайте отключены mq, так что дыр там хватает). Так что ищи и помни, что кто ищет, тот всегда найдёт.

]]> від: РУДИМЕНТ http://websecurity.com.ua/4407/#comment-330559 Wed, 28 Jul 2010 14:05:38 +0000 http://websecurity.com.ua/4407/#comment-330559 Нет, флешку я не анализировал конечно, потому как понятно было что где-то в движке, движок я так понял что в папке админа, верно? но там я не нашел дыр...надо посмотреть лучше) Нет, флешку я не анализировал конечно, потому как понятно было что где-то в движке, движок я так понял что в папке админа, верно?
но там я не нашел дыр…надо посмотреть лучше)

]]> від: MustLive http://websecurity.com.ua/4407/#comment-330535 Tue, 27 Jul 2010 22:07:24 +0000 http://websecurity.com.ua/4407/#comment-330535 <strong>РУДИМЕНТ</strong> Нет, не прикрыли - дыра на месте (как эта SQLi, так и все другие в этом движке). И как висела на сайте годами, явно будет висеть ещё долго :-). Смотри, ты когда флешку анализировал, ты не нашёл основного движка сайта? Он спрятан, не проиндексирован Гуглом и сайт выглядит флешевым, но от хакера ничего не спрачешь. Поэтому я очень быстро нашёл движок. У этой компании есть другой сайт <a href="/4400/" rel="nofollow">3s-training.com.ua</a> на дырявом движке (о котором мы уже говорили). И этот же движок используется на этом сайте - поэтому все его дыры имеют место и на этом сайте. Поэтому я совсем не тратил времени на анализ флешки - я с первого же запроса к 3s.kiev.ua нашёл на нём SQLi аналогичную предыдущему сайту. Так что взгляни на один сайт и ты легко найдёшь движок на другом сайте. РУДИМЕНТ

Нет, не прикрыли - дыра на месте (как эта SQLi, так и все другие в этом движке). И как висела на сайте годами, явно будет висеть ещё долго :-) .

Смотри, ты когда флешку анализировал, ты не нашёл основного движка сайта? Он спрятан, не проиндексирован Гуглом и сайт выглядит флешевым, но от хакера ничего не спрачешь. Поэтому я очень быстро нашёл движок.

У этой компании есть другой сайт 3s-training.com.ua на дырявом движке (о котором мы уже говорили). И этот же движок используется на этом сайте - поэтому все его дыры имеют место и на этом сайте. Поэтому я совсем не тратил времени на анализ флешки - я с первого же запроса к 3s.kiev.ua нашёл на нём SQLi аналогичную предыдущему сайту. Так что взгляни на один сайт и ты легко найдёшь движок на другом сайте.

]]> від: РУДИМЕНТ http://websecurity.com.ua/4407/#comment-330533 Tue, 27 Jul 2010 21:16:08 +0000 http://websecurity.com.ua/4407/#comment-330533 Только вот я не нашел ничего в смысле скули, или ее уже прикрыли? Только вот я не нашел ничего в смысле скули, или ее уже прикрыли?

]]> від: MustLive http://websecurity.com.ua/4407/#comment-330526 Tue, 27 Jul 2010 16:53:53 +0000 http://websecurity.com.ua/4407/#comment-330526 Никогда не нужно судить по сайту по первому впечатлению :-). И как показывает практика, в том числе и на примере этого сайта, даже на флеш-сайтах бывают SQLi. Ведь одно дело использование лишь одного флеша, и другое дело, если используются и флеш и скрипты. И если в самих флешках уязвимости также встречаются (о чём я многократно писал), то при наличии на сайте веб приложений на нём также могут быть и SQLi. А движок на сайте - очень "безопасный" ;-). Никогда не нужно судить по сайту по первому впечатлению :-) . И как показывает практика, в том числе и на примере этого сайта, даже на флеш-сайтах бывают SQLi. Ведь одно дело использование лишь одного флеша, и другое дело, если используются и флеш и скрипты.

И если в самих флешках уязвимости также встречаются (о чём я многократно писал), то при наличии на сайте веб приложений на нём также могут быть и SQLi. А движок на сайте - очень “безопасный” ;-) .

]]> від: РУДИМЕНТ http://websecurity.com.ua/4407/#comment-330523 Tue, 27 Jul 2010 14:41:57 +0000 http://websecurity.com.ua/4407/#comment-330523 Да, а так сразу и не скажешь что там может быть скуль, так как все на флеше )) но если только покопаться, тогда становится понятно ) конечно реализация фронтэнда ужасает своей "безопасностью" :) Да, а так сразу и не скажешь что там может быть скуль, так как все на флеше )) но если только покопаться, тогда становится понятно )
конечно реализация фронтэнда ужасает своей “безопасностью” :)

]]>