UWAGA NA SYSTEMY WYMIANY!

[Daniel Kędzierski]

ale LINKME napisał dobrze - skoro jego serw wysyła jakis md5 zwrotny który zna tylko właściciel i emituje kod tylko jezeli kod zwrotny pokrywa się z kodem na stronie emitujacej to nie wgra sie danych.

Wiec jezeli linkme wysyła dane zwrotne które są w krotkim kodzie na podstronie to jest to odpowiednie zabezpieczenie na atak który przedstawiłem. Bowiem nastepuje porownanie informacji wyslanej przez linkme z informacji która user ma w krotkim kodzie - jezeli wynik jest zły to rozumiem ze kod nic nie umieszcza. O ile jest to tak rozwiazane to ok.

Choć przymolestuje ten sysyem i sprawdze czy nie można nic zakombinowac

[Paweł Kobis]

Jezeli ktos chce wewlasnym zakresie juz teraz zaaktualizowac swoj skrypt prosze podmienic zawartsc pliku xxxx-sys.php na nastepujaca zawartosc :

https://www.linkorn.pl/scripts/sys.txt

W ten sposob problem szooka zostaje rozwiazany dodatkowo zabezpieczono timeouta i wyswietlanie danych podczas bledow z polonczeniem

Dodatkowe informacje i extra atualizacja zostanie wykonana w nocy najprawdopodobniej dopiero jutro ze wzgledu na wprowadzenie kilku ciekawych pomyslow ktory zrodzily sie na podstawie analiz i dzisiejszej rozmoy - wprowadzenia dwustronnej autoryzacji

[CrashXT]

dir-elite i reszta aniołów czy podziękujecie oficjalnie szook'owi za wykrycie błędu i próby poinformowania was o tym? Skoro wprowadzacie zmiany, poprawki to problem występował.

[Paweł Kobis]

1 - "problem" dotyczy nie tylko linkorna ale tez innych systemow

2 - z szookiem uczymuje kontakt na GG i pomimo tego ze potrafimy sobie powzucac na Forum jako ludzie cywilizowani potrafimy rozmawiac i utrzymywac kontakty i szczeze watpie zeby szook robil to dla tego zeby ktos mu dziekowal - choc moze sie myle

3 - nerwy kazdego moga poniesc szczegolnie jak ktos wmawia komus cos czego niema lub prubuje sie zrobic z kogos kozla ofiarnmego

4 - LinkMe ja bym sie tak nie cieszyl na ciebie tez sa haki tylko zrozum moim celem jest wspolzawodnictwo a nie atakowanie Ciebie i w duszy mam to jak mozna robic w konia LinkMe wazne zeby uzytkownicy byli zadowoleni czy twoi czy moim bez znaczenia dzis sa moi jutro pujda do ciebie testowac i odwrotnie ruch sie kreci i interes

[LinkMe.pl]

teraz dopiero przewidziales na oczy ?

przeciez to samo pisalem pol roku temu.. tyle ze ty wolales wymyslac bajki a nie zajac sie swoją robotą..

wiec skoro juz wiesz co wazne to napraw dziure w systemie a nie zajmuj sie pisaniem kolejnych scenariuszy do Twojej brudnej gry..

OPISANY PROBLEM NIE DOTYCZY LINKME.PL

[michal]

LinkMe: do opisywania zalet swojego systemu masz inne wątki. W tym wątku raczej skupiamy się na dziurach w systemach. Do kłótni z dir-elite masz PW.

dir-elite: do kłótni z linkme masz PW.

Nie odpowiadajcie na ten post, tylko się do niego zastosujcie!

[Bełdzio]

{ot}imho przydałoby się info, że to jest błąd nie tyle w systemach wymiany linków, co w systemach do zarządzania kontem (cPanel etc)

{ot2}to, że nie można wstawić kodu PHP nie oznacza, że strona jest bezpieczna, istnieje coś takiego jak XSS

[Paweł Kobis]

Dokladnie o tym mowie ze to nie jest blad systemu wymiany linkow ale blad zupelnie z nami nie powiazany ktory mozna wykozystac przeciwko kazdej jednej aplikacji ktora nawiazuje zdalne polonczenia. Bardzo dobrym przykladem "odkrycia" szooka jest podpiecie na serwerze domeny dowolnych statystyki i spreparowanie pliku pobieranego przez owe statystyki Informacje jakie mozna uzyskac sa bardzo ale to bardzo cenne np stat24 (moje ulubione do dostawania danych) Innym przykladem wykonania takich procedur jest stworzenie petli ktora spowoduje przepelnienei bufora serwera w wyniku czego bedzie mozna pobierac cale pliki php - sa to problemy serwerow a nie systemow.

Przyznaje ze moglem pomyslec o tym wczesniej ale zminimalizowalem i nadal minimalizuje problem i uznaje go za localny a nie skali swiatowej!

XSS to dopiero daje prawdiwa potenge i tu pewien system daje pole do popisu

[Daniel Kędzierski]

tak problem dotyczy ogólnego curlowania danych po domenie i nie z tytułu cpanel,direct admin.

Poprostu do każdego wspóldzielonego serwera jak zwrócisz się o dodanie domeny to powinien ją dodać i nie sprawdza czy jest to Twoja domena.

Lecz pisanie iż jest to problem direct admin itp byłoby pisaniem o detalu. Kiedy coś dotyczy rozwiązania detalicznego nie jest takim problemem. Natomiast skoro to dotyczyło rozwiązania hurtowego i zastosowanie tego szło w tysiącach witryn to już jest to problem systemu wymiany.

O ile ziutek sam sobie użyje curla po domenie to się zorientuje i naprawi o tyle że większośc userów systemów niema pojęcia co wgrywa na serwer to nie wiedziałaby co naprawić. Więc o hurcie warto pisać bo ostrzega przed bardziej zmasowanym wykorzystaniem takiego błedu.

[Bartek S.]

dir-elite, ale Ty jesteś obłudny... Nagle zacząłeś zauważać problem? I jeszcze piszesz że wszystko jest w porządku. Najpierw wrzucasz na szooka a teraz nagle jest jak do rany przyłóż... Trzeba było o tym pomyśleć wcześniej i słuchać rad innych. Mojego zaufania na pewno już nie odzyskasz tym bardziej że powinieneś od razu dziękować szookowi że napisał Ci o błędzie wcześniej i nie robił z tego halo... I jeszcze piszesz że szook nie jest człowiekiem który chce podziękowań? Kilka postów wcześniej napisałeś że jest to człowiek któy chce aby było głośno w około niego... Zastanów się. Jak dla mnie to większość użytkowników powinna przestać korzystać z tego systemu...

[cashmajster]

Jak dla mnie to większość użytkowników powinna przestać korzystać z tego systemu...

Tylko, że jeśli użytkownicy się wycofają- tracą wszelkie punkty, a ich strony linkowane tracą linki. W ciągu kilku sekund...

[luq]

Tylko, że jeśli użytkownicy się wycofają- tracą wszelkie punkty, a ich strony linkowane tracą linki. W ciągu kilku sekund...

a nie można się pojedynczo wycowyfać, najpierw usunąć jedną stronę, za tydzień drugą itp...

[jubi]

...i przenoscić do np. webmachine

[Bartek S.]

Z tego co wiem to WebMachine nie ma tak rażących "luk" i nie jest jednym wielkim backdoorem.

[Daniel Kędzierski]

nie obawiaj się że teoretycznie w ciągu kilku sekund stracisz LINKI.

Z systemu tak - ale skoro w linkorn.pl linki dla danej podstrony tworzą plik cache - co za tym idzie przy site:30 tys i nie kasowanym cachu w folderze robi ci się 30 tyś małych pliczków - to nawet jak odłączysz system i przeniesiesz linki do innego to wrecz na jakis czas dostaniesz bonus bo:

1. Linki z linkorna nie śmigną ci odrazu - jedno to googlebot nie zauważy tego odrazu, drugie to nie wszyscy odrazu kasują cache z linkami codziennie a nawet nie co 7 dni.

2. Dostaniesz linki z nowych miejsc zanim znikną jeszcze stare.

A co do tych pliczków - rozumiem cachowanie podstron całych - ale pojedynczych linków przypisywanych dla 1 podstrony nie - choć z autorem rozmawiałem o tym że są lepsze rozwiązania uważa że nie.

Jak dla mnie przy site: 100 tys podstron zapchanie sobie serwera 100 tys małych pliczków to zmulenie transferu dyskowego. A mnoząc że z jednego serwa dodajemy kilka często odwiedzanych witryn to czas dostępu do dysku może się znacznie zwiększyć bowiem każde wywołanie podstrony spowoduje odwołanie do małego pliczku który musi zostac znaleziony i wczytany - a szukanie pliczku 1 z 100 tys przy np 30 tys odslon dziennie to już dodatkowe zbędne obciążenie. Nie wspominam nawet o kopiach bezpieczeństwa wykonywanych codziennie.

Choć autor tłumaczył że można sobie co jakiś czas kasować cache itp to po skasowaniu cache linki mają rotacje więc nie są w żaden sposób stałe. Powinny po stronie systemu być cachowane na okres np 30 dni by po skasowaniu cachu po stronie usera nadal zostały pzypisane do tych samych podstron.

Ale nawiązując do wydajności i małych pliczków - to są dużo lepsze rozwiązania. Faktyczny rozmiar małego pliczku z 1 linijką jest dużo mniejszy niż zajmowana powierzchnia dyskowa. 30 tys pliczków zajmie znacznie więcej miejsca, zmuli dysk itp. Ale rozwiązania wydajnościowe to już kwestia autora skryptu ja uważam że można zrobić to dużo lepiej.

Podsumowanie:

Bez obaw można śmigać z linkorn do innego systemu