Как взломать сайт? (Аудит вашего сайта на предмет взлома или атак)

Нас часто спрашивают — как взломать сайт? Мы не занимаемся этим, однако можем вам указать на различные уязвимости. В качестве доказательства я выложил тут скриншоты подломов. Подлом — это не взлом, это как-бы показывает что может быть. Например, сейчас я смело могу утверждать что имею полный контроль над новеньким сайтом-каталогом hippo.su И вот почему, давайте смотреть картинки, где я буду последовательно рассказывать о всех возможных уязвимостях этого сайта. Надо сказать — чуваки, тут же отключили этот сайт. Взлом касается каталога ссылок и обмена статьями. И так, теперь картинки. Ахтунг наводит первая картинка — поля не то что бы позволяют делать вывод из mysql — прокатывает вообще всё: от произвольной длины до букв. Т.е. сюда вставляем просто кавычку и получаем (картинка 2). Т.е. теоретически, сюда надо вписать union select from ba_admin bли таблицы ba_users и получить пароли от админа и БД… Это с радостью прокатывает. Файл adm/listletter.php (Функция php readlistletter обращается к mysql и падает на банальной ошибке при select) Когда я начал тестировать сайт на уязвимости, чуваки — спустя 1 час — просто его отключили заглушкой htacess (но файлики то php остались в работе!) Казалось бы я думал, что всё. Ну не доглядели в спешке, к тому-же в открытом доступе, сырая админка, с кем не бывает! Но однако сайт был как рабочий — и представлял реальную серьёзно заявленную версию. Я решил пошариться дальше, ого!    А дальше больше! И так смотрим картинку 3. Возникает ощущение, что просто забыли нормально защитить свой сайт: hippo.su Да нет, наверное делал какой-то школьник или ламер, думающий, что он покорит весь мир. Но я так не думаю, и так, вводим при редактировании почты или шаблонов писем — произвольные коды. Прокатывает и java script и html! Т.е. берём <iframe src= и ставляем свою запись. Для чего это надо: когда админ подойдёт в админку он будет видеть ваш сайт на весь экран, но не кнопочки управления сайтом или контентом или проектами — а чисто то, что вы прикажите! Идём дальше. В качестве примера, так что бы это было видно в окошке, а не на весь экран я вставил фрейм нашего сайта helpset.ru (Это не фотошоп — это ещё одна уязвимость)  Смотрим следующую картинку. При добавлении нового проекта, оказывается тоже можно вставлять туже уязвимость XXS! Она же отобразится в общем каталоге пользователей! Т.е. представьте ситуацию, когда у вас в базе 30000 записей, и когда вы подходите на страничку каталога сайтов — а вам — бац: обнаружена вирусная угроза, или сайт helpset загрузиться или ругательная надпись выскочит, блин или рекламный баннер будет висеть внизу (можно сделать через divы) баннер ваш, а сайт чужой — в общем море просто удовольствий — в одно нажатие! И так смотрим картинку. Вставили код — получаем…

Ну вот, теперь наш сайт красуется слева вверху. Но можно и на весь экран растянуть или данные забрать из MySQL! Не знаю, что лучше — оба варианта хороши 😉

Сайт hippo.su взламывают, а админы спят!!! Почти через любое поле можно взломать это сайт. Вот хотя бы пример: тут.

Тот же div с xxs-атакой, только вверху, в разделе редактирования писем или почты.

Т.е. все поля свободно пропускают код, который позволяет быть инжектированным в сайт hippop.su!

Случается дерьмо. Но что поделать. Мы могли бы исправить эту ситуацию, помочь парням, конечно не бесплатно!

Для тех, кто не верит что это произошло — вот ещё один скриншотик, позволяющий делать свои собственные вставки в их проект. (https://demo.hippo.ru/adm/)

Вот так выглядит строка кода позволяющего взломать cайт hippo.su! Конечно, почему бы не обратиться к специалистам — типо нас, и не провести аудит вашего сайта на предмет взлома?

Мы запросто можем помочь всем хорошим людям — узнать, можно ли взломать тот или иной сайт, и как! Конечно, это стоит денег, при том скажу так: сначала предоплата 100 рублей через Яндекс-Деньги (в качестве помощи нашему проекту) а уже потом — разговоры, что и как. Что бы убедиться что вы не лохи (без копейки в кармане) сначала небольшая предоплата, а потом уже основная оплата за работу 50%! Как взломать сайт? (Аудит вашего сайта на предмет взлома или атак)!

Как видите, сайт создать мало — нужно его ещё проверить на уязвимости и все различные атаки! Но, пардон — консультация у нас платная! Точно…

Форма сотрудничества ТОЛЬКО такая:

1) Оплата помощи 100 рублей через WEBMONEY. Тема: консультация по-поводу сайта (указываете обратный адрес эл.почты — контакты на нашем сайте «О нас» , кого спросить и адрес вашего сайта на предмет аудита)

2) Мы (в течении суток) консультируем на предмет уязвимости, (только после предоплаты 100 рублей), объявляем вам цену за работу, торгуемся если надо (все мы люди) и вы оплачиваете уже 50% от нашего с вами проекта на электронный кошелёк который мы вам укажем в последствии — доверяя вам, только после пункта 1) и 2) мы начинаем работать!

Все предложения: Ребята, я озолочу — помогите, нужно взломать сайт! Не прокатывают (см. пп.1 и пп.2) Мы не занимаемся взломом сайтов — мы занимаемся его аудитом и анализом на предмет возможного взлома или атак! Для тех кто не понял — писать в каменты бессмысслено — смотрите ещё раз пункт 1 и пункт 2. Как взломать сайт? (Аудит вашего сайта на предмет взлома или атак)

При оплате — обязательно указываете обратный адрес — иначе мы не сможем вам ответить. Все различные переговоры только после помощи проекту — для тех, кому действительно это надо, таким  ребятам из как hippo.su возможно и взломанный:

Вот счёт помощи нашему Интернет-проекту в Webmoney (это безвозмездное пожертвование на развитие проекта)

Как взломать сайт — это не взлом, это сложный аудит вашего сайта на предмет возможного взлома или атак из вне!