Хостінги державних сайтів
22:49 27.07.2012Досліджуючи взломані та інфіковані державні сайти, я звертаю увагу на їхні хостінги. Особливо це актуально, коли gov.ua сайти розміщуються на дірявих хостінгах і вони стають жертвами масових взломів. Наприклад, під часу масового дефейсу на сервері VinNest були взломані 3 державні сайти, а не сервері Візор - 12 gov.ua сайтів. Тобто чим більше державних сайтів на одному сервері, тим більше можуть бути взломані за один раз.
І я неодноразово зустрічав державні сайти, що розміщуються не на українських хостінгах, а за кордоном. Серед таких сайтів наступні:
- kprda.gov.ua (Германія)
- guonkh.gov.ua (США)
- kolomakrda.gov.ua (США)
- www.gorodok-vlada.gov.ua (Германія)
- sts-rrada.gov.ua (Германія)
- stakherson.gov.ua (Германія)
- yalta-gs.gov.ua (США)
Це дані лише за 2011-2012 роки і лише за одним джерелом. Враховуючи, що взломи та інфікування я знаходжу за багатьма джерелами, то мені траплялося набагато більше державних сайтів на іноземних хостінгах.
Розміщення державних сайтів на серверах інших країн я вважаю серйозною проблемою. Особливо, якщо на цих ресурсах міститься будь-яка важлива, конфіденційна чи секретна інформація. Яка легко може бути отримана хостером або спецслужбами тієї країні, де розміщений сервер, не кажучи вже про хакерів (що можуть отримати цю інформацію через дірки на сайті чи сервері). Це як здача національних інтересів. Додам, що я не знаю жодної країни, де б державні сайти розміщувалися за кордоном - а в Україні таких сайтів багато. Що є несерйозним і це потрібно виправляти.
Середа, 01:10 15.08.2012
Перше, що прийшло в голову - дорки:
site:gov.ua filetype:sql
site:gov.ua e10adc3949ba59abbe56e057f20f883e (підставити розповсюджені хеши)
site:gov.ua warning execute
site:gov.ua warning include
і так далі
Результатів значно більше, ніж в цьому блозі.
Середа, 01:14 15.08.2012
Я взагалі дивуюся …
Хто робить ці сайти? Чому не тестують? Чому не виправляють?
І головне, як таке може бути, щоб державні сайти хости за кордоном? Чому немає державного оператора для цього?
Середа, 01:32 15.08.2012
> Додам, що я не знаю жодної країни, де б державні сайти розміщувалися за кордоном - а в Україні таких сайтів багато.
Зустрічав, зустрічав! В основному сайти острівних держав.
А як вам цей дорк: site:gov.ua porno
Це дуже один з найкращих дорків, для виявлення похеканих сайтів.
П'ятниця, 23:50 14.09.2012
sb, нарешті знайшов час для відповіді
.
Дорки - це відомий і потужний метод. В тому числі мені відомі всі наведені тобою варіанти і про деякі з них я вже писав на сайті (в добірках дорків для пошуку уразливостей). Але до чого тут вони в записі стосовно хостінгів державних сайтів? Я ж писав про те, що чимало українських державних сайтів хостяться закордоном.
Звісно цими дорками можна шукати діряві сайти, в тому числі й витоки логінів і паролів. Але це не відноситься до теми даного запису
. І я достатньо писав про дірки на gov.ua сайтах та й дорків наводив багато (по українським сайтам і по всьому Інтернету), що дозволяли знаходити мільйони дірявих сайтів.
П'ятниця, 23:56 14.09.2012
Так, ця ситуація дуже дивна - і вона триває багато років. І на протязі всієї роботи мого веб проекту я намагаюся привертати до цього увагу. Якщо про дірки на держсайтах я писав багато, то з минулого року мене почала турбувати ще й проблема розміщення таких сайтів закордоном, тому й вирішив про це написати.
Відповідаю на риторичні запитання. Роблять ламєра. В переважній більшості не тестують на уразливості. Коли повідомляєш про дірки, то часто ігнорують і не виправляють - бо також ламєра. От тож бо, що не повинно такого бути, щоб державні сайти хостилися закордоном. Але це має місце - таких випадків десятки (крім вищенаведених сайтів, цього року я знайшов ще багато інших). Спеціального немає - кожен сайт хоститься де може (по своєму бюджету). Є хостінги де розміщені цілі групи gov.ua-сайтів, в тому числі я писав про багато взломаних серверів таких хостерів
.
Саме так - острівних держав, а також сайт президента Грузії переїзджав в 2008 році на американський хостінг (для захисту від DDoS атак). І порівняй таку країну як Україна з маленькими острівними державами. Це ганьба для цих gov.ua-сайтів, що таким чином кидають тінь на державу. Бо окрім ризиків безпеки, про які я писав вище, це також і удар по престижу країни в галузі ІТ.