najveci problem nije sto su uhapseni..mada tako deluje...problem je sto je sistem takav da ce narednih n meseci biti u pritvoru (verovatno u bg czu) i na kraju ce biti osudjeni da bi se opravdao pritvor, iako za to delo kazna moze biti i uslovna recimo. Bice im sjebani zivoti, slazem se i zbog njihove naivnosti, ali mnogo vise zbog bahatosti neznalica na vlasti. Najgore u svemu je sto oni danas mogu doci recimo kod bilo kog od vas i uhapsiti vas i drzati u pritvoru i na kraju osuditi bez ijednog dokaza, pri tom o tome istrubiti u svojim (svim) medijima dovoljno da vam niko vise nikad nece verovati da to sto su oni natrubili nije tacno. Zao mi je sto to moram da kazem, ali po meni stanje je drasticno gore nego u vreme Milosevica, jedina srecna okolnost je sto nemamo sa kim da ratujemo (ne sumnjam da bi i u to usli samo da odloze silazak sa vlasti). Alternativa su Nikolic i Vucic, ako ne onda onda ostaju Dacic i Palma. 90-tih smo makar imali nadu da ce biti bolje.

Nadam se da ipak nece ici toliko daleko.

Videcemo na kraju dana..

Stvarno ne razumem glorifikovanje hakera, čak i od strane Internet profesionalaca. To jeste umeće (makar često nije), ali to je i kriminal.

Da probam plastično da pojasnim na jednom primeru: išao sam ulicom, i radnica je iz zlatare na kraju radnog vremena unosila nakit iz izloga. Ostavila je otključan, širom otvoren izlog dok je unosila prvu turu. Da li sam zbog tog njenog očiglednog propusta smeo da uzmem nešto? Naravno da ne.

Da li je neko smeo da menja sajt državne institucije samo zbog slabe šifre?

nije ovde glorifikacija hakera u pitanju. ovo je krivicno delo i kad smo kod toga haker sebi ovako nesto ne bi dopustio nego bi izasao bez traga i ostavio sebi mogucnost da upadne opet u sistem ;)

ovde je u pitanju jedna druga stvar

ZNAM DA OVO CITATE! HAKOVALA VAS DECA! BRUKO! :)

ne, kao sto nije smeo da recimo plati djokovicu reklamu za ocistimo srbiju pola miliona evra...razlika je sto je ovaj u vladi dobio jos jedno ministartstvo, a ove hapsi jedinice za borbu protiv organizovanog kriminala...da li stvarno mislis da onog ko prodje pored otkljucane zlatare i uzme lance (pri tom taj ostvaruje imovinsku korist, a ovi momci ne) treba da hapsi jedinica za organizovani kriminal i smesta u pritvor na neodredjeno i objavljuje imena po medijima (makar nisu slike) ili da treba da podnese krivicnu prijavu, podigne optuznicu i ako im dokaze krivicu osudi ih na koliko treba. Da li pri tom treba da onaj ko je odgovoran za propust u radu i ostavljanje sirom otvorene zlatare preko cele noci do ujutru, treba da dobije recimo makar otkaz, ili unapredjenje? U tome je poenta. Ako su momci prekrsili zakon, nek odgovaraju. Ali SBPOK...alo breee

@Djoca: Pre neki dan su uhapsili čuvenog Đuru iz Vranja osumnjičenog za švercovanje 900Kg kokaina. I nigde ni u jednim medijima njegove slike. Vi ste postali "poznati" odmah. Ne bi me čudilo da i ovim momcima slično urade.

Pogodio si u sred srede ali si ustvari omašio par milja. ;)

Sada će krenuti lavina postova gde će ti plastično objasniti zašto to nije hakerisanje, zašto su u vtk apsolutno nestručni i zašto je Joomla đubre.
Nažalost, svi ti postovi su na nivou Grand produkcije.

@ppavlovic ma da su mi makar neku lepsu sliku stavili...to je naravoucenije kad se slikate za licnu kartu, lepo da se uredite, nikad ne znas kad ces u dnevniku da osvanes :)

Jel zna neko koji su rezultati tog specijalnog tužilaštva od kad postoji? Koja presuda je doneta na osnovu njihovih optužnica? To je vrlo lak način da se utvrdi da li #vtk samo troši pare poreskih obveznika ili radi nešto konkretno od čega društvo ima korist.

Ako ovo sto su ovi momci uradili poredite sa "offline" zivotom, to je vise kao da su upali u ministarstvo policije i orgijali celu noc (sa sve striptizetama, grafitima po zidovima i sl).

Ukratko, ovde se vise postavlja pitanje da li je kriv onaj ko je upao ili ovi "strucnjaci" koji su ostavili otkljucana vrata (admin/admin password) bez ikakve dodatne zastite?

Mister, evo ja se javljam da pokrenem lavinu nestručnih "Grand Show" postova.

O čemu ti pričaš? Ako jedan tupavi dizajner (tupavi iz 2 razloga: 1. čoveku od 34 godine padne na pamet takva infantilna glupost, 2. nema pojma šta radi i njegovo znanje "hakovanja" se svodi na unos username/password) ode na sajt koji je zaštićen kao kurava korišćenim kondomom - odakle nekome bezobrazluk da to nazove hakovanje?

Činjenica je da ja Joomla đubre - teško đubre, ali to nije tema.

Ali činjenica je da nije Joomla kriva za ovo već oni stručnjaci koji treba da vode računa. Ne može most da bude kriv jer je neko skočio sa mosta.

To je bre isto kao da zaključaš vrata pa napišeš na vratima "ključ je ispod otirača" i naiđe neko i uđe da vidi iz zajebancije, a onda nazoveš policiju i prijaviš da su ti "obili stan".

Ja osuđujem sve vas koji ste uopšte otišli na taj sajt i ulogovali se bez obzira da li ste postovali ili ne. To je jednostavno debilno i nezrelo.

I smešni ste sa tom pričom - udaviste i na twitteru i na facebook-u, davite i ovde - smorili ste danima.

Takođe osuđujem i ove odgovorne za sajt što ne vode računa o svom sajtu - ovo je vrhunska sramota za njih da im se plavuše loguju na sajt i da ih onda prozivaju "hakeri" ... to će da im bude izgovor i ja se plašim da će ova dvojica najebati ni krivi ni dužni - samo zato što im je bilo "zabavno" pa su se malo glupirali ... naleteli su dok je stajalo "ključ je ispod otirača".

@Bluesman

Tema hakovanje:
Govorim o prvom koji je uhakovao sajt. Ne uzimam u obzir bilo koga ko je nakon objavljivanja ključa pristupio sajtu, a za analiziranje takvih pokušaja smatram da su na nivou Grand produkcije. Ne možeš me ubediti da je prvobitna kombinacija username i pass bila debilno jednostavna, isto kao što verujem da nije bila ni na sajtu ocistimosrbiju.rs gde verujem da je nakon hakovanja promenjena na admin/12345 (čini mi se da je to bio ključ ispod otirača)

Da li sam ja jedini kome se čini da je u oba slučaja scenario sakrivanja tragova identičan?

Što se tiče Joomle možemo praviti različite sisteme ocenjivanja ali u odnosu na konkurenciju ne može se reći da je Joomla lošija, čak šta više, Joomla 1.6 ima sistem permisija kojim ne mogu da se pohvale konkurenti,a ova tema se može nastaviti na nekom drugom postu.

Ostale komentare čini mi se da nisi uputio meni, pa ću sa ovim završiti.

@vidak: kako sakrivanje tragova, mislis time sto je pustio i druge da udju? Mislim da je to paranoja, a i ne vidim kako bi to "sakrilo tragove", ostaje IP u access_logu, i treba im 2 minute da nadju ko je prvi pristupio zasticenom delu sajta tog dana. Ali ako je koristio Tor onda mu najverovatnije ne mogu nista...

@marinowski: Bolju je metaforu dao Kuzma, ovo je kao da udjes u policijsku stanicu, a tamo nema nikoga. I onda ljudi udju i krenu da preturaju po ahrivi... iz dosade... to jeste protivzakonito, ali nije bas tako grandiozan zlocin...

Tačno tako. Cela ta stvar sa skrivanjem tragova ima za cilj da koliko toliko oteža posao pronalaženja ali i da nanese što veću bruku sajtu, isto kao i kod ocistimosrbiju.rs, a možda je i cilj da se napravi razvodnjavanje priče kod eventualnog suđenja t.j. dokaznog postupka.

E sad, kako je sajt zaista uhakovan, verovatno nećemo nikad saznati. Predpostavljam da sajt nije hakovan pogađanjem admin/pass t.j. skriptom koja bi to radila već da je to urađeno na neki drugi način. Živi bili pa videli.

A da će ova dvojica naje*ati, naje*aće ko žuti!

E sad... ovo jeste tačno ali tebi bi a možda i meni trebalo 2 minuta da pristupimo logu, koliko će njima vremena trebati to ne znamo.

I sam znaš da postoje kojekakvi botovi koji češljaju sajtove. Ako je neki pristupio npr. sajt/admin pre prvog upada teško će se dokazati ko je tu prvi pristupio i šta je ko tu radio jer koliko vidim Joomla beleži samo poslednji pristup, a možda je u tome i caka što je omogućen pristup sajtu.
Čak šta više, taj neko bi mogao da simulira sa različitih IP adresa pristupanje svim uobičajenim joomla/admin stranicama te se ne bi moglo utvrditi da je samo simulirao pristup njima... bla,bla,bla

gledam malo pa razmišljam..
izgleda da uopšte nisu pravili backup Joomle. Ni baze, ni fajlova. Da su imali backup verovatno bi odmah digli predhodnu verziju, osim ukoliko ne veruju da je i neka od predhodnih verzija kompromitovana pa ne žele da se dodatno izlažu opasnosti sve dok ne utvrde u kom trenutku je sistem kompromitovan... bla, bla, bla...

... ukoliko je napad na oba sajta bio centarlizovan mogli su proći meseci pre napada tako da bi prava paranoja bila 'koja verzija backup-a nam je čista?'...


... meni ni jedna informacija do sada ne govori da su iz vtk amateri...

Pa ja bi rekao da nije paranoja eno covek i dalje vrslja sto ce reci on je verovatno hakovao server / promenio sifru a onda distribuirao istu svima. Ako pratite jedan drugi forum mogli ste dodji do tog zakljucka.

ja sam igrom slucaja radio na nekim drzavnim sajtovima i znam da su ljudi masovno stavljali sifre tipa nekoime/ nekoime... ti im stavis normalnu, oni je opet promene nazad u nesto tupavo..

mozda nije bila sifra bas 12345, ali prilicno sam siguran da tu nema neke velike nauke... nick mu je John the Ripper, sto je dobro poznat old-school alat za razbijanje sifri, tako da je verovatno samo uradio dictionary attack... mene cudi da to ljudi cesce ne rade, posto je velika vecina sajtova potpuno nezasticena od takvih napada...

Na zalost, ovde je kriv onaj koji je upao. Nas zakon ne poznaje odgovornost institucije ili kompanije za gubitak ili stetu koju je trece lice pretrpelo zbog odgovornosti same kompanije ili institucije...

Na zalost to je jedno jako pipavo pitanje, i kao sto sami znate, niko nece da sece granu na kojoj sedi...

@ivanhoe

Ako je napad radio preko Joomle, mogao je da koristi/napravi skriptu koja će koristiti naša imena (mika, cica, zika...) i admin user + neka reč iz rečnika našeg jezika. Predpostavimo da je user mika koristio password 'merdevine' a ona se ne nalazi u engleskom rečniku. Ne znam da li postoji na netu neka skripta koja radi to za naš jezik pa bi lik morao sam da je pravi, a to ukazuje da je lik daleko od amaterizma. Ukoliko je ovako uhakovao Joomlu onda bi logovi trebali da budu solidno veliki (morao bi solidan broj puta da pokuša), a tu je problem vremena koje mu je potrebno za pristup putem anonymous proxy servera. Solidno velike logove su morali da uoče, a opet, ako je znao ime nekog od korisnika sistema koji nije admin (predpostavka je da je admin imao iole kompleksniji pass) onda mu je pola posla bilo odrađeno. U tom slučaju ako bi unapred znao neki user, lik bi imao dodirnih tačaka sa vtk i eventualno sa ocistimosrbiju.rs.

Druga opcija jeste da je Joomla imala neku komponentu koja je bila šuplja i da je tu rupu iskoristio za pristup Joomla.

Treća opcija je da je Joomla nije odavno bila update-ovana pa da je iskoristio neku od poznatih rupa. Pitanje je da li je na sajtu bio omogućen front-end user login pa mu je to olakšalo posao, jer mi se čini da odavno nije bila neka rupa koja dovodi do pribavljanja user/password a da je na back-end strani.

Ove tri opcije podrazumevaju da je nekako došao do kombinacije user/pass ili je uspeo da promeni pass za nekog od usera čiji je naziv znao.

Ono što povezuje napad na ocistimosrbiju.rs i vtk jeste emotivna komponenta napada t.j. izvrgavanje ruglu i navlačenje neiskusnih da pristupe uhakovanom sajtu. To nije samo jedna sličnost već tri a to znatno povećava šansu da je u pitanju ista osoba (treća sličnost je da su oba sajta državna).

Postoji mogućnost i da je putem nekog od protokola pristupio serveru. Složićeš se da je za to ipak potrebno dosta znanja i iskustva pa mi je teško da poverujem da bi se neko kompromitovao rušeći Joomla ako već ima ceo sistem na izvolte.

Moguća je i opcija da je lik znao kombinaciju user/pass i da mu ništa od ovog nije bilo potrebno, a u ovoj varijanti šanse su mu najslabije.

Isto tako moguće je da je neko napipavao password za admin user-a ali ako uzmemo kao tačnu predpostavku da je isti lik odradio ocistimosrbiju.rs i vtk mala je verovatnoća da mu se dva puta posrećilo, što znači da je nestručan a opet socijalna komponenta je u oba slučaja odlično odrađena.... hmmm.....

Vidak,
ovo nema veze sa joomlom, drupalom, wordpressom ili babinim pekmezom. Ovo ima veze sa internim sigurnosnim polisama i praksama. Da iole postoje nekakve polise koje moraju da se postuju, ne verujem da bi neko ostavio uobicajene lozinke kao sto su admin12345 ili 12345...

Da bi se sve to dovelo u red potrebna je ogromna podrska iz menadzmenta firmi ili glavno komandujucih iz institucija, i to je posao koji ne obuhvata samo proces pisanja tih polisa, te polise je potrebno i prakticno testirati, podici svesnost o sigurnosti kod zaposlenih, prilagodjavati, i na kraju forsirati primenu istih...

A pre toga, treba uraditi klasifikaciju vrednosti, i sta treba da se cuva, i koliko kesa sa druge strane uloziti u to...

A zar nije praksa da se kod takvih sajtova ogranici pristup sa eksternih ip adresa, tj. dozvoli samo sa odredjenog subneta ? Micim, onako ...

Nema neprobojnih sajtova. Ali... backup mora uredno da se pravi, backup može (brzo) da se proveri, password može da se zameni, admin pristup može da se ograniči na poznate IP adrese, sajt može da se privremeno obori, reakcija na ovakve situacije bi morala da bude brža. Ukratko, po informacijama koje su nam na raspolaganju, zaštita datog sajta je mogla i morala mnogo bolje da bude odrađena.

Meni, naprotiv, nijedna informacija do sada ne govori da su profesionalno pristupili poslu. Ergo...

Koliko sati je sajt bio "haknut"? Mediji su u 4pm vec izvestili o tome a sajt su sredili tek sutradan. Ako ovo nije amaterizam onda ne znam sta je!

sredili? nisu ga još ni sredili, samo zamenili index, dok nađu nekog ko ume da instalira joomlu xD

Tačno tako. Ovo ne može ni jednim drugim razlogom da se objasni osim amaterizmom.

postojao je dictionary za JackTheRipper sa ex-yu recima i imenima jos tamo negde oko 2000., secam se da je mogao da se nadje na news-u za download, pretpostavljam da su ga do sad znacajno usavrsili i dopunili..

ne kazem, mozda je ovo zaista neki opasan lik, ali hocu da kazem da ne postoji nikakav razlog da nije mogao neki script kiddie da izvede isto to, uz malo zdravog razuma i vestine da sklopi par alata i upotrebi ih kako treba...

uostalom videcemo, mozda anti-vtk ekipa spere ljagu sa imena, pa ga uhapse...

ja sam uradio jednu aplikaciju koja se koristi za mail server. Skoro sam primjetio da se uvale botovi i šalju mailove ...

Nakon toga više nema kilavih lozinki... minimalno 8 karaktera, veliko slovo, cifra, malo slovo... Ajoj kao da sam im noge odsjekao i tjeram ih da trče... Pa jel mora tako komplikovana lozinka, pa kao da smo NASA,....

Uhapseni hakeri sajta Tuzilastva

Prvo je to bio neki "stari, neaktivni sajt", a sada:

Koja tuga, nekada stvarno mislim da nema normalnog coveka a da je deo aparata vlasti u zemlji.

sad mi dade drugar dobru ideju, sifre treba kucati u cirilici...

Ma daj, i bez toga broj mogucih kombinacija za normalan pass je dovoljno veliki da nijedan script ne moze da ga provali brute force attackom.

Npr 8 karaktera (slova up/low case i brojevi) = 62^8 = 218 340 105 584 896 kombinacija!

Na stranu sto bi trebalo prikazati captchu posle 3 neuspesna logina, blokirati account posle 10 pokusaja (to upravo ovaj forum radi) i stavljati sleep izmedju 2 uzastopna requesta, ...

sleep() u okviru HTTP request/response ciklusa nikako, osim ako ne želite sam-svoj-DOS pošto vešt haker tada može naterati svu Apache decu da samo sede i vrte prstima.

Nesavestan rad u službi
Član 361
(1) Službeno lice koje kršenjem zakona ili drugih propisa ili opštih akata, propuštanjem dužnosti nadzora ili na drugi način očigledno nesavesno postupa u vršenju službe, iako je bilo svesno ili je bilo dužno i moralo biti svesno da usled toga može nastupiti teža povreda prava drugog ili imovinska šteta, pa takva povreda, odnosno šteta u iznosu koji prelazi četristopedeset hiljada dinara i nastupi, kazniće se novčanom kaznom ili zatvorom do tri godine.
(2) Ako je usled dela iz stava 1. ovog člana došlo do teške povrede prava drugog ili je nastupila imovinska šteta u iznosu koji prelazi milion i petsto hiljada dinara, učinilac će se kazniti zatvorom od šest meseci do pet godina.
(3) Odgovorno lice u ustanovi ili drugom subjektu, osim onih koje se bave privrednom delatnošću, koje učini delo iz st. 1. i 2. ovog člana, kazniće se kaznom propisanom za to delo.

kako se to radi i šta je alternativa?

predpostavljam da ne misliš da sa jedne IP adrese se pokrene više zahteva npr. python threading pa onda zaguši server?

Distribuirano bez ikakve pauze praviš X (veliki broj po izboru) asinhronih konkurentnih zahteva u sekundi, bez da čekaš odgovor servera. Svaki Apache worker se usled sleep()-a "zaglavljuje" na Y sekundi i za to vreme je beskoristan (troši resurse a ne može da usluži novi zahtev dok ne završi postojeći).

Posle nekog vremena Apache će ili istrošiti sve sistemske resurse ili "uposliti" sve worker-e.

^Malo zbunjujuće pojašnjenje.

Ako je distribuirano, zašto je onda bitno da je asinhrono? A ako je asinhrono onda je pretpostavka da dolazi sa jednog klijenta u kom slučaju nije distribuirano (bar sa tog jednog klijenta) :-) te onda nije teško primetiti da gomila zahteva dolazi sa jednog klijenta pa ih se može odbacivati (verovatno to odbacivanje može onda da se desi još negde na nekom hardveru pre web servera), itd. A možda je i bolje da ti pukne server ako baš mora usled takvog napada, nego da ekipa nesmetano vrti dan i noć kombinacije dok ne ubode (što i nije mnogo različito od DDOS-a)?

Izvini, nije mi bila namera da zbunjujem ljude već da dam najgori mogući scenario:
1. distribuirano: zarad otežane identifikacije napadača, samog napada i nemogućnost ranog spoznavanja napda i efektivne zaštite u slučaju naivnih (nažalost uobičajnih) bezbednosnih mera. U slučaju da su napadi konstantni i sa različitih provajdera manje veštim administratorima preostaje samo jedna opcija - prekid u pružanju usluge (gašenje servera, blokiranje celokupnih podmreža ili kontinenata), čime je takođe ispunjen cilj DOS-a.
2. asinhrono: zarad efikasnosti napada. Serveru se pošalje jedan zahtev i ne čeka se na njegov odgovor, već napad odmah zatim prosleđuje sledeći zahtev. Takav napad je i asimetričan jer troši minimum napadačovih resursa (CPU vreme, RAM, dolazni mrežni protok) a primorava web server da izvrši sve operacije koje su potrebne da bi se sastavio odgovor (što postaje veoma zanimljivo za resursno ili vremenski zahtevne operacije).

@offtopic povodom oslobođanja resursa ako zahtev predugo traje zarad izbegavanja "zaključavanja" workera: nisam susreo Apache podršku za tako nešto, ali koliko znam nginx ne bi trebao da ima ozbiljnih problema pošto je u pitanju asinhroni event-driven web server. Sem toga svi javno dostupni resursi moraju brzo odgovarati na HTTP zahteve.

Što se tiče zaštita: firewall, fail2ban i rotirajući brojači (na nivou sesije, ip adrese, podmreže, zemlje, globalno) koji mere broj i učestalost pristupa raznim delovima sistema i na osnovu toga automatski podešavaju firewall.

Ozbiljan problem je šta da rade mala i srednja preduzeća koja ili nemaju odgovarajuće stručnjake (sindrom: 1 informatičar koji je devojka za sve) ili nemaju novca/vremena/svest zarad sprečavanja ovakvog problema. Naročito pošto se danas sve više ljudi igra sa sopstvenim (virtuelnim) serverima.

da, da, zato me ova tema interesuje da uuoliko se meni desi ovakav napad mogu koliko toliko da se zaštitim. Ranije sam malo proučavao logiku ovakvih napada pa sam primetio da je dovoljno da nađeš stranicu gde ima dosta iščitavanja iz baze, napravi se skripta i piči Mile lajkovačkom prugom.:seljak:

^ Keširanje je majka. :)