Обсудим Взлом консоли сервера

[BUDAPESHTER]

srvgame

Вроде весной, у знакомого сервера там взломали.
Шерстили плагины, меняли RCON пароль и тд.
Плагины были либо с UMOD либо купленные.
Потом сервер вайпнулся не в дату вайпа, начали проверять все, нашли в личном кабинете команду в планировщике на вайп каждые N часов.
Сменил пароли, подключили двухфакторную аутентификацию.
Далее тишина.
Через день снова вайп, снова планировщик и все в этом духе.
Потом парень рассказал, что через уязвимость в панели управления получил полный доступ к лк.
Доступ к лк был с IP адреса SRV

 

[Eva]

То что он белый, это не достаточно) Он еще должен быть статическим что бы от плагина этого была польза.


Подробности в студию)

ServerStats для мониторинга с площадки скай, но это предположение только) Как минимум, сегодня после 00.00 увижу вайтлист мод включается или нет)) хоть по каким-то косвенным признакам)

 

[WOLF SPIRIT]

Вроде весной, у знакомого сервера там взломали.
Шерстили плагины, меняли RCON пароль и тд.
Плагины были либо с UMOD либо купленные.
Потом сервер вайпнулся не в дату вайпа, начали проверять все, нашли в личном кабинете команду в планировщике на вайп каждые N часов.
Сменил пароли, подключили двухфакторную аутентификацию.
Далее тишина.
Через день снова вайп, снова планировщик и все в этом духе

Не кошмарь ребят=)

 

[olol321]

Не кошмарь ребят=)

ну это пока один что то обьясняющий вариант

 

[Eva]

Вроде весной, у знакомого сервера там взломали.
Шерстили плагины, меняли RCON пароль и тд.
Плагины были либо с UMOD либо купленные.
Потом сервер вайпнулся не в дату вайпа, начали проверять все, нашли в личном кабинете команду в планировщике на вайп каждые N часов.
Сменил пароли, подключили двухфакторную аутентификацию.
Далее тишина.
Через день снова вайп, снова планировщик и все в этом духе.
Потом парень рассказал, что через уязвимость в панели управления получил полный доступ к лк.
Доступ к лк был с IP адреса SRV

мне в тех.поддержке не смогли сказать с каких ип была авторизация в веб- интерфейсе либо в консоли) назвали только то, что было в момент обращения, 2 ип админов) поэтому с ними не долго общался) они на плагины почти сразу начали грешить)

 

[WOLF SPIRIT]

Думаю, тут высокие люди сидят! Давайте подумаем, как будет выглядеть код!

 

[BUDAPESHTER]

мне в тех.поддержке не смогли сказать с каких ип была авторизация в веб- интерфейсе либо в консоли) назвали только то, что было в момент обращения, 2 ип админов) поэтому с ними не долго общался) они на плагины почти сразу начали грешить)

мне писали что у них тех возможности отследить кто к чему там обращался, но я думаю им было просто лень

 

[Eva]

мне писали что у них тех возможности отследить кто к чему там обращался, но я думаю им было просто лень

на протяжении всего лета какая-то ерунда с ними возникала и их максимум - ищите, что-то у вас, либо задают вопросы, ответы на которые были пару сообщений до в тикете) щас вот еще интереснее стало)) не думаю, что они чем-то помогут)

 

[WOLF SPIRIT]

Я не такой спец, но не пойму смысла !!! Будапешт и Экспрессс два гуру, не обижайтесь что одного выше объявил!

 

[BUDAPESHTER]

Я не такой спец, но не пойму смысла !!! Будапешт и Экспрессс два гуру, не обижайтесь что одного выше объявил!

я не гуру, экспресс видно, что хорошо разбирается в том, о чем пишет, у меня познания более поверхностные .
А какой смысл понять не можешь?

 

[BUDAPESHTER]

Вот пример
ТЫК
Смотришь сервера, какие сервисы работают, какое ПО стоит, ищешь версии в которых есть уязвимость, и эксплуатируешь.
Софта для этого много.

Наш любимый CODEFLING, был тоже дырявый, можно было качать плагины без покупки
добавляя ?do=download , после названия плагина, но при этом, его кто-то должен был скачать(разраб, админ площадки) , чтобы ты без авторизации мог скачивать его в течение короткого времени. Я так выкачал 90% всего что там было, пока владелец не признавал , что есть уязвимость.
Потом добавили csrfKey и проблемы не стало

 

[WOLF SPIRIT]

Вот пример
ТЫК
Смотришь сервера, какие сервисы работают, какое ПО стоит, ищешь версии в которых есть уязвимость, и эксплуатируешь.
Софта для этого много.

Наш любимый CODEFLING, был тоже дырявый, можно было качать плагины без покупки
добавляя ?do=download , после названия плагина, но при этом, его кто-то должен был скачать(разраб, админ площадки) , чтобы ты без авторизации мог скачивать его в течение короткого времени. Я так выкачал 90% всего что там было, пока владелец не признавал , что есть уязвимость.
Потом добавили csrfKey и проблемы не стало

Серень, я уловил смысл! Позже напишу, как продумаю мысль!

 

[expresss]

такая

Обрати внимание, что мое предложение это ссылка, сходи по ней, и после этого ответь на поставленный вопрос, какая такая песочница в актуальном Rust?

 

[Eva]

Всем добрый день, судить еще рано) После удаления данного плагина, как минимум, сервер запускается без whitelist mode) А будет или нет посмотрим)
Спасибо Introspect, что откликнулся) Провозились всё утро с ним и с большой долей вероятности нашли то, что сливало данные)

ServerStats для мониторинга с площадки скай, но это предположение только) Как минимум, сегодня после 00.00 увижу вайтлист мод включается или нет)) хоть по каким-то косвенным признакам)

 

[expresss]

ServerStats для мониторинга с площадки скай

А оно то тут причем? :)
Да, там есть "пароль", но это пароль сервера внутри системы.

P.S. Ну, конечно при условии что плагин был скачан у скаев, а не где то)

 

[BUDAPESHTER]

Обрати внимание, что мое предложение это ссылка, сходи по ней, и после этого ответь на поставленный вопрос, какая такая песочница в актуальном Rust?

Я и на писал , что не точно. Теперь вижу

 

[nickp]

за час найду проблему, естественно не за бесплатно, обращайся

 

[expresss]

за час найду проблему, естественно не за бесплатно, обращайся

Не найдешь)

 

[nickp]

Не найдешь)

о чем ты пишешь сынок, я найду, если ты не найдешь то эт твои проблемы

 

[Eva]

А оно то тут причем? :)
Да, там есть "пароль", но это пароль сервера внутри системы.

P.S. Ну, конечно при условии что плагин был скачан у скаев, а не где то)

у скаев, там данные по серверу видны пока плагин включен. К слову говоря, после удаления плагина приколов с сервером не наблюдалось. Думаю, что там мониторят не только те, кто скачал плагин, но и те, у кого скачали) Есть идея, что обнаружили, что некоторые плагины IQ куплены здесь, а не на том сайте, вот и решили похулиганить)