Сегодня будем говорить о хаккинге, взломе и прочих темных делах.
Но для начала одна веселая (а может, и не очень) история, которая приключилась со мной.
Сегодняшний мой день был абсолютно нелогичным продолжением вчерашних проблем с хостером. Кто помнит, вчера одного из моих хостеров ддосили, и сей блог несколько часов не работал.
Так вот, сегодня, проснувшись и сразу нажав кнопочку Power на своем 1800+ Атлоне (пора бы поменять, да вот денюжки не хватает!), так вот, с самого утреца я зашла в Сапоаккаунт, дабы проверить, сколько ж центиков мне капнуло с моих внедренных в систему сайтов.
Цвета алой крови «Эрроры» и мизерная сумма в доходе за сутки были ответом на мой вопрос.
Что ж его делать? – подумала я и принялась вычислять причину случившегося.
Вычислить оказалось довольно просто: вчера я настраивала переадресацию (долго рассказывать), в общем, допустила незначительную ошибочку в файле .htaccess.
Ошибка то незначительная, а сайт не работает.
Со скоростью барракуды исправив неточность, я попробовала закачать измененный файл по ftp к себе на сервер.
Но не тут-то было! Файл ни в какую не хотел переписываться.
Тогда я просто попробовала удалить некорректный, а вместо него записать новый.
Но и тут моим стараниям не было вознаграждения.
Добрые люди (да будет им счастье!) посоветовали сделать это все с помощью FileZilla. Красивое название, подумала я, и скачала сию программулину с и-нета.
И что б вы думали?
Неа, файл упорно не хотел ни редактироваться, ни удаляться!
«Давай я Линуксом попробую», - предложил представитель многочисленной армии вебмастеров рунета, которые в онлайн режиме помогали мне решать этот вопрос.
Но и он не смог мне помочь!
Выход один: бомбежка хостера.
«Сейчас все сделаем!» - обнадежил меня суппорт, но через пару минут сказал, что файл удалить не удалось. «Сейчас придет главный администратор и поможет решить вопрос», - написали мне по асе.
Но прошло полчаса, час, полтора, а результата все не было.
Главный админ писал, мол, работает над удалением проблемы.
А все это время сайт был в дауне.
Настроение мое испоганилась, даже не хотелось делать очередной ГС.
И тут – о, чудо! – суппорт написал, что все ОК, файл удален, и теперь можно закачать новый.
Я так сделала, сайт возобновил работу, но мое любопытство не позволило мне оставить это просто так.
Я попросила хостера объяснить, что это было, и как такого избежать в дальнейшем.
Ответ поразил меня до глубины души и вызвал эмоции, которые спродуцировали смешанные примерно в равных количествах радость, разочарование, непонимание и агрессию (последней чуть-чуть, ибо я к такому не склонна).
Ответ хостера был сформулирован в стиле Александра Дюма, но перефразировать на нормальный русский язык его можно таким образом: «Ну, в общем, прости, дорогая, но со вчерашнего дня у меня на компе был открыт твой файл .htaccess. И когда ты, а потом и главный админ пытались с ним что-либо сделать, понятное, дело ничего у вас не получалось. Но потом я догадалась (в суппорте сидела девушка) файл закрыть, и доступ к его редактированию был возобновлен).
Сижу и думаю, я так давила на мозги главному админу, видать, наволал на девчонку .
Ну а чего? Зачем такое делать-то? Я тут и так, и сяк, полрунета на ноги подняла, а она, видите ли, файл у себя на компе открыла и закрыть забыла.
В общем, вывод такой: если что не получается, то не обязательно из-за того, что что-то неправильно делаешь.
Теперь о хаках.
То, что я вам сейчас вещаю, а вы это читаете, - веление судьбы, ибо этого могло и не быть.
Сегодня в 16:04 по Киеву мне пришло письмо следующего содержания:
«Кто-то попросил сбросить пароль для этого пользователя на этом сайте.
http://anfisa.info
Имя пользователя: Anfisa
Для получения нового пароля пройдите по следующей ссылке… Или просто проигнорируйте это письмо - и ничего не произойдет»
По ссылке я, понятное дело, не пошла, но тем, кто вместо меня вам вещать задумал, заинтересовалась.
Подобные письма посыпались как град. Я даже испугалась.
Но юный взломщик что-то не рассчитал, таким образом он мало чего добьется – лучше бы пароль вручную ввести пробовал, заодно и телефончик мой узнал бы.
Ой, проболталась! 
А может, и не узнал бы, может, это я так, чтоб запутать
Ну и ладно 
После случившегося я полезла в Интернет, чтоб узнать, как можно взломать чужой блог, сайт или просто пароль.
Нарвалась на блог именитого Маула, который написал следующее:
«Обновляйте версию WordPress на своем блоге как можно чаще. А то получится как со мной - пришлет вам добрый хакер пароли от вашего блога - и будет ваш дневничок чувствовать себя слабым и незащищенным - пока его не обновят. Теперь мои блоги живут на v. 2.5.1 - поэтому до поры, до времени я спокоен».
Видать, Маул рассчитывал, что его месседж расползется по Интернету, а блог получит много бэков. Не тут-то было! Ссылочки на него я не поставлю, потому что считаю это вымыслом.
Ну как это так, и попался же такой добрый хакер! Если бы WordPress так просто ломали, очевидно, уже весь Интернет об этом гудел бы.
Методов взлома, как мне удалось выяснить, есть много. Самые популярные из них – социальные.
Я никогда не забуду, как юные хакеры с Сапофорума попытались взломать мою почту и как бы между прочим спросили у меня ответ на одну немецкую фразу.
Я им чуть не ответила, а потом вспомнила, что это – фраза для восстановления забытого пароля на моем мыле.
Вот студенты, грамотнее спросили б, взломали бы!
Социальные методы предполагают наличие каких-либо знаний о человеке – его день рождения, увлечения, тогда пароль можно сгенерировать методом подбора.
Еще очень популярный метод – пригласить на какой-либо сайт и попросить зарегистрироваться (часто у пользователей одинаковые пароли на мыло, асю и так далее). А даже если и не одинаковые, то имея доступ к мылу, можно заполучить все, что надо, вплоть до управления ftp, где висят мегапорталы.
Что же делать, если ну никак не удается?
Тогда идем сюда, суть такова: один компьютер будет очень долго подбирать пароль, и если он состоит из 8-10 и больше знаков, это ему это не под силу.
Поэтому пароль подбирает целая сеть (тысячи компьютеров), вы внедряетесь в оную, и определенное время ваш компьютер работает на благо других. Когда набираете определенную сумму кредитов (за несколько часов), потуги сети направляются на подбор вашего пароля.
Мне ж стало интересно, действует ли это, я запароллила (8 знаков) один вордовский документ и решила попробовать.
Но мне как-то стало невтерпеж ждать нескольких часов, поэтому я нашла на форуме человека, у которого этих кредитов хватало на взлом нескольких документов.
После беседы в асе он согласился мне помочь. Через несколько минут пароль был взломан.
Вот так!
Правда, действует это для Word, Excel и архивов, но я другого особо не искала.
Еще сегодня пробежала информация, мол, я в DMOZ попала за ссылочку с блогролла.
Это опровергаю и клеветою именую (ссылочку с блогролла во избежание кривотолков пришлось, к сожалению, убрать). Даже если предположить, что такое может иметь место, тогда весь рунет давно должен был быть в этом буржуйском каталоге.
А параметры у меня 0/10, не смотря на то, что пробежал PR-ап.
Так что если кого-то давит зеленая, вы ее гоните, а лучше делайте СДЛ – и будет вам счастье (не всегда, конечно, но не исключено)!
Расписалась я что-то, вы, наверное, уже не читаете.
Все, заканчиваю. Это – компенсация за вчерашнее!
30 Апр 2008 в 21:31
Да у меня щас как раз тоже кризис с хостингом…
А по поводу взлома пароля ворда то там я не думаю что идет перебор. Просто по аналогии с pdf документами где пароль просто снимается за пару секунд…
30 Апр 2008 в 22:25
“Ну как это так, и попался же такой добрый хакер!”
И не первый раз.
“Если бы WordPress так просто ломали, очевидно, уже весь Интернет об этом гудел бы.”
Если бы вы разбирались - то поняли бы - что у меня была старая версия - которой больше года. Она дырявая.
30 Апр 2008 в 22:35
Маул, для меня честь, что вы отписались в моем блоге, если это действительно вы.
Простите, если что не так, но как-то странно, согласитесь.
Ведь у вас можно было бы денег затребовать, и, полагаю, вы бы, заплатили.
А по поводу версии - действительно не знала, что они ломаются, по крайней мере, при изучении WordPress такой информации не наблюдала.
30 Апр 2008 в 23:07
У меня один сайт все очень сильно и упорно хотели сломать, что только не делали и досили и пароли подбирали. В принцыпе по-мелочи часто прорывались, ну там чужие аки подбирали. А потом ломанули через сам сервер напрямую (замечу не через код). Ну собственно дальше отдел К и все вот они… Но правда ниче серьезного им не было, но найти не проблема всяких ламеров. А вот против трухацкеров защиты нет по определению, ибо ломается все, вопрос только чего это будет стоить…
Для сайтов все просто - разделить имя и логин. Не зная логин пароль подбирать смысла уже нет. Еще - защита по ип-адресу, ну эт если чет совсем серьезное… ЗЫ у меня все оно имеется, вроде пока не ломали…
30 Апр 2008 в 23:17
А вот есть товарищи, которые предлагают взлом любого мыла и оплату по результату, интересно, как они действуют.
Наверное, подсылают какие-то формы, чтоб пароль ввели.
Я, кстати, до того как этими делами занялась, везде один пароль имела - на мыло, асю, форум.
30 Апр 2008 в 23:55
Ломается всё. Чем дальше, тем легче, поэтому и делают постоянные обновления/багфиксы. А в чём честь пообщаться с Маулом я не понимаю…
01 мая 2008 в 0:09
Если ему верить, то ему 19 лет и $15к в месяц.
Как по мне, весьма неплохо.
Если, конечно, это правда.
01 мая 2008 в 0:26
Я не палю самого главного, я уже давно зарабатываю в 3 раза больше чем он
01 мая 2008 в 0:28
Я читала, помню, в начале зимы блог МПБ, так ты (можно на ты, да?) писал что-то порядка 850 баксов на основной работе и пару штук слева.
А теперь $45к
Респект!!!
01 мая 2008 в 1:34
МПБ, а в первом номере терминала опубликовали совсем другую цифру
01 мая 2008 в 2:26
Anfisa, это не я - это клон моего клона.
Хацкеру я можно сказать заплатил в качестве благодарности, если уж вам это так интересно. Могу связать с человеком.
Московский Полубомж, красавчик-миллионер, хватит играть на публику и девочек разводить.
01 мая 2008 в 2:26
это я к тому, что написать можно все что угодно
действительность далеко не та
01 мая 2008 в 2:30
ыыы…
вобщем о достижениях некого блоггера я умолчу, ибо смешно уж право, читать о том, какие цифры цитирует блогосфера и ее новички, и сравнивать это затем с тем, какие отзывы пишут в профессиональных кругах
01 мая 2008 в 3:16
И сошлись они на блоге у Анфисы!!!
На самом деле было бы интересно услышать цифры, хотя бы приблизительные. О реальных доходах
01 мая 2008 в 3:52
О реальни доходах, девочка моя, тебе поведаю при личной встрече, пригласим маула и Мпб, я их помирю или прибью обоих, но начну пожалуй с молодова.
01 мая 2008 в 4:59
Ну вот уже голосование появилось
Кто круче?
- Московский полубомж
- MaulNet
- Одного поля ягоды
- Я сих господ не знаю
01 мая 2008 в 6:46
Да уж… Вот и встретились))
01 мая 2008 в 8:15
Выбрал “- Я сих господ не знаю”)
Тут кто то про защиту по ip писал, я вот взял наконец и состряпал свою первую запись у себя в блоге об этом)
01 мая 2008 в 8:18
Пока лидирует МПБ!
01 мая 2008 в 8:33
Я тоже в певый раз про них слышу
:) 
. Кто такие не понятно . И вообще почему вариант с моим ником не включили в голосование. Требую исправить ! Я круче !
01 мая 2008 в 8:37
Вариант с вашим ником будет
У меня мегаконкурс запланирован с мегапризами, сегодня, если все будет хорошо, оглашу
01 мая 2008 в 8:44
Anfisa, может свой в этот список добавить?)) Я поддержу))
01 мая 2008 в 8:55
Не, это принципиальный спор, мне просто интересны результаты
01 мая 2008 в 9:04
Константин победит. Жтож тут спорить
01 мая 2008 в 9:16
А васька слушает, да ест..
01 мая 2008 в 9:30
мдя… приколисты )))
01 мая 2008 в 10:04
народ, хватит ссориться, майские праздники на дворе - отдыхать надо!
По сабжу - пароли все нужно:
1. генерить спец. пргами, 10-16 знаков всключая %=* и т.п.
2. хранить все пароли в спец программке которую хранить на флешке, пароль от этой проги должны знать только вы и нигде его не сохранять, также регулярно рекомендую записывать прогу болванки, можно для надежности создать е-мейл который нигде не светить и послать туда самому себе копию дистрибутива (на всякий пожарный)
3. Защита cms сайтов - файлом .htaccess по ip, плюс можно сделать эту директорию защищенной паролем (на многих хостингах есть такая фича)
01 мая 2008 в 10:14
Стёпыч, на счет 3го про айпи, я написал
На счет защиты паролем это можно сделать самому, не нужны не какие опции хостера 
т.к это функциия apache 
01 мая 2008 в 11:48
бесполезно все, если поймаешь качественного трояна.
01 мая 2008 в 13:08
Blade, да там файл htpasswd как-то так называется
01 мая 2008 в 14:23
Я погуглил, и даже плагин под это дело нашел
http://alexblog.name/askapache.zip
01 мая 2008 в 14:56
Милая Анфиса!
Очень интересно пишешь. Приятно читать твои размышления и однозначно верится в твой успех и достижение поставленных целей.
01 мая 2008 в 21:32
хорошая статья по выбору пароля : http://pkonline.ru/viewtopic.php?id=2
а если ещё хотите защититься поменьше светите свой электронный адрес везде ( anfisa1@ukr.net )
01 мая 2008 в 23:26
К адресу anfisa1@ukr.net я не имею абсолютно никакого отношения.
Если на Сапофоруме что-то выдумали, можете писать письма, но они уйдут либо в никуда, либо кому-то другому
02 мая 2008 в 0:50
Анфиса, девочка моя, ты несправедливо поступила с Маулом поставив его на одну планку с тяжеловесом, это как равнять меня и дауна. Возможно Маула следовало поставить в пару с psihadelic
02 мая 2008 в 0:52
Вы мне скажите, кто такой ОНОТОЛЕЙ?
Я думала, это МПБ, теперь вообще ничего не понимаю…
02 мая 2008 в 5:48
Онотелей это не человек. Онотолии это web существо пришедшее из прошлого чтобы изменить наше будущее.
02 мая 2008 в 8:16
Интересная трактовка и написание английского слова HACKER!
Получилось что-то среднее между хакером и huckster`ом…
Возможно в этом скрыт глубокий смысл!
Особенно в контексте данной статьи
Я даже не знаю, или автор совсем не знает английского, или знает его настолько совершенно, чтобы с юмором обыграть мельчайшие языковые нюансы… Интрига!
02 мая 2008 в 9:11
Маул не стоит того времени и внимания, которые Вы на него тратите. Чисто как вебмастер он сделал достаточно промахов, чтобы судить о нём как просто об удачливом ГВМ.
02 мая 2008 в 9:50
to MrJinx
Уважаемый мистер!
К сожалению, я не знаю кто такой Маул и почему его нужно защищать,
но, прежде чем учить других веб-мастеров и оценивать их работу,
Вы бы сперва научились правильно писать слово “Интернет”!
Поверьте, это слово пишется именно так, а не “Инернет”, как написано в меню Вашего ГС.
02 мая 2008 в 11:50
“Я даже не знаю, или автор совсем не знает английского, или знает его настолько совершенно, чтобы с юмором обыграть мельчайшие языковые нюансы… Интрига”
Да, знаю, знаю, не переживайте ))
Просто Hack you! - ну, оно так бы не совсем звучало.
А hUcker, кстати, - это жаргон, что ли, я иногда на буржуйских форумах бываю, иногда так пишут.
Ну, и Huck you! - это как бы известный прикол, по крайней мере, я его не придумала, а просто позаимствовала для названия этой статьи.
02 мая 2008 в 12:49
Так я говорил не про “Hack you!”, а про картиночку “HUCKER”!
Если Вы пишите на интернет-тематику, то в терминах не имеете права ошибаться, а то глаз режет, честно говоря. А на буржуйские форумы ориентироваться нужно разборчиво, там чуть ли не половина неграмотных, особенно американцы этим страдают. Бедная, несчастная страна!
02 мая 2008 в 16:34
MrJinx, например?
Расскажите обо мне что-нибудь такое - что меня удивит.
Анфиса, простой народ поддержит МПБ - это естественно.
02 мая 2008 в 16:47
to Sketcher
Абсолютно всё равно, что там написано, на сайте даже 10 страниц нету. Там закрытый форум, а остальное просто, чтобы было, полигон для испытаний так сказать. Я и не спорю, что это мой говносайт и палить мне его совсем не жалко.
MaulNet, я думаю Вас это не удивит, Вы ведь сами знаете. Чего стоят только потраченные деньги на xss?
02 мая 2008 в 16:57
Я Маула уважаю, и не за то, что он ведет блог, и что там 3к подписчиков, а за то, что зарабатывает 15к!
02 мая 2008 в 16:59
“Анфиса, простой народ поддержит МПБ - это естественно. ”
А что значит простой народ? По опросу, большинство моих читателей зарабатывают от 5к в месяц, но ведь это не повод, чтобы остальных называть простым народом ))
02 мая 2008 в 17:05
Анфиса, если будешь стараться и купишь себе нормальный сис. блок, то тоже будешь немало зарабатывать
02 мая 2008 в 17:09
Угу, факт, хотела похруммить, но хрюшка заходел 20 суток спамить.
Уж больно долго!
Ой, проболталась! Я за белые методы!!!
02 мая 2008 в 17:12
Единственное, за что я могу сделать поклон Маулу за то, что он раскрутил своё имя. Я думаю это, как минимум, половина его успеха, да и не только его, а и некоторых других вебмастеров
02 мая 2008 в 17:27
Anfisa, не подумай ничего плохого - не хочу тебя обидеть. Имеется ввиду те - кто не может объективно судить, т.к. по сути знает - что я якобы из себя представляю лишь по критике МПБ - который на этом во многом раскрутился.
MrJinx, потраченные деньги на XSS - если ты меня читаешь - я не расцениваю как ошибку. Моя ошибка в том - что я высокомерен - и из-за этого такой образ сложился - а из-за него большая часть критики.
“а и не только его, а и некоторых других вебмастеров” - а это что значит?
02 мая 2008 в 17:36
MaulNet, я не отрицаю того момента, что я могу быть не прав насчёт Ваших способностей, но у меня сложилось именно такое мнение исходя из того, что я знаю Вас только с этой стороны. Блог Ваш сейчас не читаю, какое-то время назад, бывало, просматривал. Если Вы можете дать линк, где Вы поясняете, почему Вами вложенные в XSS деньги не являются ошибкой - я буду чрезмерно благодарен.
“а и не только его, а и некоторых других вебмастеров” - это так, мысли вслух.
02 мая 2008 в 18:01
MrJinx, прям последний пост.
Ну дак расскажите о своих мыслях вслух - я же должен что-то новое узнать.
02 мая 2008 в 19:36
MaulNet, так мысли вслух были не про Вас. Я имел ввиду, что сейчас модно среди вебмастеров пиариться, включая Вас да и я этим немножко грешу, но самую малость…
02 мая 2008 в 19:41
PS. Прочитал Ваш пост про XSS. Скажите, разве стоил этот эксперимент тех затрат (времени, денег, сил), чтобы получить абсолютно явный результат? Когда посыпались накрученные XSSом площадки тут не надо иметь 7 пядей во лбу, чтобы понять, что цены на белые сайты тут же подымутся как минимум процентов на 15. А про пиар - я Вас сейчас бесплатно пиарю…
02 мая 2008 в 22:07
Смешная ситуация - редко такое наверно бывает. А вот проблемы с блогом у меня тоже частенько бывает - токо разного характера : то бд полетит, то скрипты затупятся !
08 мая 2008 в 10:06
Это, наверно, от хостинга зависит.
11 мая 2008 в 18:42
хм. хакинг.
имхо самое простое “по-ламерски” ломать это либо тупо устроить ДОС. (как показала практика большинство хостеров не выдерживают)
или, искать..искать Эксплойты ко всяким вордпресам и прочим движкам..
-)