Обсудим Нужны тестеры на веб админ панель

[expresss]

Там у людей чуть ли не бизнес на таком) все автоматизировано

Во, во)
Я тут как то ставил CHR.
И затупил, накинул сразу на него IP. Не накинув не пароль, не fw.
Не прошло и 2 минут. Залетает бот, создает группу со всеми правами, создает пользователя с новой группой, режет админу права и выходит.
И всё CHR, больше не мой)

 

[Tandziro Kamado]

Типы, не, зачем. Боты.
Просто получат апдейт, просто применят его к серверу, и сервер просто автоматически станет нодой расслки/спама/проксей/vpn.
И тут логика "да кому я нужен", увы не работает)


А, у нас ыкспертность человека теперь определяется тем что есть ли на этом ресурсе ресурс?)

У меня к тебе такой вопрос тогда зачем приплетать сюда SSH если такую уязвимость можно получить везде в библиотеке, ОС, драйвере, локальной сети, банально кривой проги без защиты

 

[Tandziro Kamado]

Во, во)
Я тут как то ставил CHR.
И затупил, накинул сразу на него IP. Не накинув не пароль, не fw.
Не прошло и 2 минут. Залетает бот, создает группу со всеми правами, создает пользователя с новой группой, режет админу права и выходит.
И всё CHR, больше не мой)

И к слову панель стоит на VDS который физически мониторим мы и бекапы каждый день делаем всей ОС на другое устройство

 

[Tandziro Kamado]

И к слову панель стоит на VDS который физически мониторим мы и бекапы каждый день делаем всей ОС на другое устройство

При нормально продуманной архитектуре 0-day просто не будет, а также в основном 99% не только 0-day но еще и обычных уязвимостей это специфичная тема которая требует конкретного набора кривых настроек или приложений

 

[Tandziro Kamado]

Там у людей чуть ли не бизнес на таком) все автоматизировано

Да так и есть это бизнес огромный просто в основном самые большие атаки на социал-инженерии производятся

 

[Tandziro Kamado]

Да так и есть это бизнес огромный просто в основном самые большие атаки на социал-инженерии производятся

Потому что смысл ломать банк тот же нет через 0-day у них защит сколько, а уговорить сотрудника скачать и разрешить залупу намного проще в основном там комбинации уязвимость+социал

 

[masspas]

Во, во)
Я тут как то ставил CHR.
И затупил, накинул сразу на него IP. Не накинув не пароль, не fw.
Не прошло и 2 минут. Залетает бот, создает группу со всеми правами, создает пользователя с новой группой, режет админу права и выходит.
И всё CHR, больше не мой)

Наблюдал такое на живом оборудовании и это реально занимает считанные минуты.

Поэтому у микрота на новом оборудовании уже есть фикс, теперь там появилась наклейка с рандомным паролем от админа) забирали в прошлом месяце новые свичи 354 и на них на всех уже была наклейка

 

[masspas]

При нормально продуманной архитектуре 0-day просто не будет, а также в основном 99% не только 0-day но еще и обычных уязвимостей это специфичная тема которая требует конкретного набора кривых настроек или приложений

Долго думали над архитектурой? 😄

 

[Tandziro Kamado]

Долго думали над архитектурой? 😄

Как минимум разделять данные и вместо пароля юзать ssh ключи

 

[Tandziro Kamado]

Долго думали над архитектурой? 😄

Как максимум не выкладывать голые сурсы, а выкладывать уже проведённые через компилятор либо поверх ещё обфусцировать все

 

[masspas]

Как максимум не выкладывать голые сурсы, а выкладывать уже проведённые через компилятор либо поверх ещё обфусцировать все

Возвращаемся назад, когбуд-то вы перед собой изначально ставили цель заработать сексилион

 

[masspas]

Хороший и классный продукт в первую очередь не должен преследовать перед собой цель - заработок. Заработок это как побочное вознаграждение за хороший продукт. Это конечно сугубо личный опыт...

 

[Tandziro Kamado]

Хороший и классный продукт в первую очередь не должен преследовать перед собой цель - заработок. Заработок это как побочное вознаграждение за хороший продукт. Это конечно сугубо личный опыт...

Так у нас продукт этой цели и не преследует я наоборот цены поставил в ~4-5 раз меньше чем у конкурентов