Manul antywirus do skanowania plików stron na FTP od Yandex

[MaxPan]

Wiele na tym forum pytało jak przeskanować pliki stron www na temat wirusów, włamów.

Yandex przedstawia antywirus pod nazwą Manul, wgrywamy na FTP, analizujemy, usuwamy wirusy, usuwamy antywirus.

www.yandex.com/promo/manul

Krótka instrukcja

1. 1
   Upload Manul to your site's root directory using FTP/SFTP and unpack the archive.
2. 2
   To launch the utility, enter your_site's_address/manul/index.php into your browser's address bar.
3. 3
   Create a password so that nobody other than you can use the utility.
4. 4
   Start scanning. After it's finished a report will be saved in .xml format.
5. 5
   Upload the report to the Analyzer or send it to a specialist.
6. 6
   Open Manul and go to the Executor tab. Copy the script you get after the analysis into the special field and click «Execute».
7. 7
   After it's done working, delete the /manul folder from your server.

[SzlafRock]

Gdzieś czytałem, że to jest projekt opensourcowy, jeśli tak jest naprawdę to duży plus. O ile się nie mylę to Manul pracuje już też w Yandex.Webmaster.

Być może, że się mylę. Nie śledzę na bieżąco rynku rosyjskiego.

[mghost.pl]

Nieco bałbym się wrzucać czegoś takiego na serwer.

Zwłaszcza, że później raport wrzucasz na zewnętrzny serwer.

Ktoś z zewnątrz audytował już kod tego softu?

[MaxPan]

swis.pl Tak, Yandex wgra wirusa i będą zarabiać na tabletkach . Kod jest otwarty, to jest projekt opensourcowy. Nie podejrzewałem by Yandex w takiej głupocie jak przemycanie czegoś w otwartym kodzie, ale jak mówił klasyk są na świecie rzeczy o których się filozofom nie śniło. Mion lakował to może sprawdzi. Ja nie jestem programistą.

To cześć ich narzędzia dla webmasterów co po prostu wynieśli jako osobny open projekt. Pliki antywirusa są usuwane tuż po skanowaniu, wygenerowaniu pliku.

O ile się nie mylę to Manul pracuje już też w Yandex.Webmaster.

Dokładnie tak, oni wcześniej to mieli ale w inny sposób to działo, trzeba było stronę dodać do narzędzi i właśnie pokazywali w narzędziach dla webmastera dokładnie który wirus gdzie siedzi, czego Google nie robi.

Zresztą parę osób z forum ( miedzy innymi Zgred) tylko w taki sposób i znaleźli dziurę na stronie, a specjaliści nie dawali rady. Tak na marginesie, doskonale radzie sobie ostatnimi wynalazkami.

Oczywiście nikt nikogo nie zachęca samemu szukać wirusów na stronie przy pomocy tego narzędzia, nikogo nie namawiam. Po prostu nie znam podobnego narzędzia, a problemy z włamami to obecnie na porządku dziennym.

[SzlafRock]

Nieco bałbym się wrzucać czegoś takiego na serwer.

Dopóki kod będzie otwarty to nie ma strachu.

[MaxPan]

Bardziej mnie martwią kodowane, płatne/bezpłatne ogólnodostępne paginy, dodatki, szablony, nawet te z "sprawdzonych" zródel.

[gollumek]

O ile się nie mylę to Manul pracuje już też w Yandex.Webmaster.

Zgadza się, trochę trwa zaindeksowanie stron i moment od kiedy sprawdza wirusy ale działa i nie trzeba nic instalować.

[Mion]

Mion lakował to może sprawdzi.

Nie muszę sprawdzać, bo nie mam wątpliwości, że nie służy do wgrania "Wiadra" . Chodziło mi o to, że sam fakt "wgrania" u większości osób od razu wywołuje "reakcje alergiczne"

[mghost.pl]

Wiesz, sama otwartość kodu jeszcze o niczym nie świadczy. Nawet na GitHuba trafiały commity osób niezwiązanych z projektem, które nieco mieszały.

Nawet tak duży program jak TrueCrypt był niedawno audytowany i na szczęście nic nie znaleziono.

A Ty od deski do deski patrzyłeś w źródła? Masz pewność, że w xmlu z raportem nie ma np haseł z wp-config.php w postaci jakiegoś hasha lub nie leci po jakimś porcie połączenie na zewnątrz?

Nie mówię, że tak jest, ale wolałbym to najpierw odpalić w jakimś sandboxie na testowej instalacji np wordpressa

[MaxPan]

W Polsce ogromna ilość osób używa statystyk Yandexa i wgrywa kod na stronę. Yandex to nie jakaś grupa z 3 osób pasjonatów kodowania, to giełdowa spółka co zatrudnia ponad 6000 osób, ma swoje fakultety na wyższych uczelniach, duże biura nie tylko na wschodzie:D, Mistrzostwa świata z kodowania kojarzysz? ( Polscy kodery zawsze w czołówce rok do roku) to też Yandex organizuje w swoim europejskim biurze w Niemcach. Obecnie maja chyba najlepszą przeglądarkę Yandex alfa ( nie mylić z wyszukiwarką, która też nie jest zła) na świecie, statystyki, pocztę, serwis video i tak dalej. Co nie zmienia faktu, że mogą coś skopać

Masz pewność, że w xmlu z raportem nie ma np haseł z wp-config.php w postaci jakiegoś hasha lub nie leci po jakimś porcie połączenie na zewnątrz?

Litości to nie firma z pod krzaka którą interesują Twoje hasła do WordPressow

Przezorny zawsze ubezpieczony to prawda, ale zawsze tzreba myśleć logicznie, i odpowiedzieć na pytanie co zyska taka firma jak Yandex mając Twoje hasła do WordPressa?

[mghost.pl]

Ale ja nie neguje ani ich wielkości, ani umiejętności. Nie mówię też, że zbieranie haseł zostanie wykorzystane źle. Ot może tylko do statystyk albo powiadomienia usera, że hasło jest zbyt słabe, a na dodatek 13169 osób używa takiego samego hasła .

Po prostu nie lubię wrzucać takich rzeczy i z natury mam do nich ograniczone zaufanie.

Haseł też nie trzymam w chmurze ani w notatniku, tylko zaszyfrowane w keepasie, którego plik trzymam w kontenerze truecryptowym, na wirtualnej maszynie . Ot zboczenie

[MaxPan]

Ale zobacz prowadzisz hosting, mam u Ciebie konta, są OK, ale czy mam 100% gwarancji że ktoś ( nie Ty ale ktoś z ekipy) nie wykorzysta moje dane bez mojej wiedzy? Nie mam takiej gwarancji ale i tak korzystam z Twojego hostingu

[mghost.pl]

Gwarantuje Ci to nasz regulamin, i fakt, że żaden z nas nie ma czasu na grzebanie z ciekawości. Nie wiem jak jest w innych firmach, my mamy podejście proklienckie. Ty masz być zadowolony, my mamy dostarczyć usługę o dobrej jakości. A czy trzymasz zaplecze, czy zdjęcia ciotki Jadzi spod prysznica to już nie nasza działka . Ale oczywiście 100% gwaracji, ze tak jest wszędzie nie udzielę

[Mion]

Gwarantuje Ci to nasz regulamin,

OT: Tak samo żona/mąż daje gwarancje na ślubie "...że cie nie opuszczę..." Jednak praktyka pokazuje coś innego. Kolejny przykład Edward Snowden zapewne też gwarantował dochowanie tajemnicy bla,bla,bla ...Takich przykładów można by mnożyć w setkach. Jeśli występuje czynnik ludzki tego typu gwarancje nie są i nigdy nie będą w 100% pewne.

===

Wiec większym zaufaniem darzyć można kod programu open source o jakim mowa, który można zweryfikować niż gwarancje ludzkie

[SzlafRock]

Przy zakupie komercyjnych wersji softu też dużo ryzykuje. Jednak gdy kod jest otwarty ryzyko maleje. Zapewne przeciętny użytkownik nie potrafi sprawdzić kodu ale znajdą się tacy co sprawdzą. Podobnie było z zainfekowanymi nośnikami usb.