Hakovan sajt odeljenja za visokotehnološki kriminal

[vidak]

Originalno napisao ivanhoe

...ostaje IP u access_logu, i treba im 2 minute da nadju ko je prvi pristupio zasticenom delu sajta tog dana.

E sad... ovo jeste tačno ali tebi bi a možda i meni trebalo 2 minuta da pristupimo logu, koliko će njima vremena trebati to ne znamo.

I sam znaš da postoje kojekakvi botovi koji češljaju sajtove. Ako je neki pristupio npr. sajt/admin pre prvog upada teško će se dokazati ko je tu prvi pristupio i šta je ko tu radio jer koliko vidim Joomla beleži samo poslednji pristup, a možda je u tome i caka što je omogućen pristup sajtu.
Čak šta više, taj neko bi mogao da simulira sa različitih IP adresa pristupanje svim uobičajenim joomla/admin stranicama te se ne bi moglo utvrditi da je samo simulirao pristup njima... bla,bla,bla

[Milos Micic]

Originalno napisao ivanhoe

@vidak: kako sakrivanje tragova, mislis time sto je pustio i druge da udju? Mislim da je to paranoja, a i ne vidim kako bi to "sakrilo tragove", ostaje IP u access_logu, i treba im 2 minute da nadju ko je prvi pristupio zasticenom delu sajta tog dana. Ali ako je koristio Tor onda mu najverovatnije ne mogu nista...

Pa ja bi rekao da nije paranoja eno covek i dalje vrslja sto ce reci on je verovatno hakovao server / promenio sifru a onda distribuirao istu svima. Ako pratite jedan drugi forum mogli ste dodji do tog zakljucka.

[vidak]

gledam malo pa razmišljam..
izgleda da uopšte nisu pravili backup Joomle. Ni baze, ni fajlova. Da su imali backup verovatno bi odmah digli predhodnu verziju, osim ukoliko ne veruju da je i neka od predhodnih verzija kompromitovana pa ne žele da se dodatno izlažu opasnosti sve dok ne utvrde u kom trenutku je sistem kompromitovan... bla, bla, bla...

... ukoliko je napad na oba sajta bio centarlizovan mogli su proći meseci pre napada tako da bi prava paranoja bila 'koja verzija backup-a nam je čista?'...


... meni ni jedna informacija do sada ne govori da su iz vtk amateri...

[nn.nn]

Originalno napisao vidak

gledam malo pa razmišljam..
izgleda da uopšte nisu pravili backup Joomle. Ni baze, ni fajlova. Da su imali backup verovatno bi odmah digli predhodnu verziju, osim ukoliko ne veruju da je i neka od predhodnih verzija kompromitovana pa ne žele da se dodatno izlažu opasnosti sve dok ne utvrde u kom trenutku je sistem kompromitovan... bla, bla, bla...

... ukoliko je napad na oba sajta bio centarlizovan mogli su proći meseci pre napada tako da bi prava paranoja bila 'koja verzija backup-a nam je čista?'...

Nema neprobojnih sajtova. Ali... backup mora uredno da se pravi, backup može (brzo) da se proveri, password može da se zameni, admin pristup može da se ograniči na poznate IP adrese, sajt može da se privremeno obori, reakcija na ovakve situacije bi morala da bude brža. Ukratko, po informacijama koje su nam na raspolaganju, zaštita datog sajta je mogla i morala mnogo bolje da bude odrađena.

... meni ni jedna informacija do sada ne govori da su iz vtk amateri...

Meni, naprotiv, nijedna informacija do sada ne govori da su profesionalno pristupili poslu. Ergo...

[dinke]

Originalno napisao nn.nn

Meni, naprotiv, nijedna informacija do sada ne govori da su profesionalno pristupili poslu. Ergo...

Koliko sati je sajt bio "haknut"? Mediji su u 4pm vec izvestili o tome a sajt su sredili tek sutradan. Ako ovo nije amaterizam onda ne znam sta je!

[vidak]

Originalno napisao dinke

Koliko sati je sajt bio "haknut"? Mediji su u 4pm vec izvestili o tome a sajt su sredili tek sutradan. Ako ovo nije amaterizam onda ne znam sta je!

Tačno tako. Ovo ne može ni jednim drugim razlogom da se objasni osim amaterizmom.

[ivanhoe]

ja sam igrom slucaja radio na nekim drzavnim sajtovima i znam da su ljudi masovno stavljali sifre tipa nekoime/ nekoime... ti im stavis normalnu, oni je opet promene nazad u nesto tupavo..

mozda nije bila sifra bas 12345, ali prilicno sam siguran da tu nema neke velike nauke... nick mu je John the Ripper, sto je dobro poznat old-school alat za razbijanje sifri, tako da je verovatno samo uradio dictionary attack... mene cudi da to ljudi cesce ne rade, posto je velika vecina sajtova potpuno nezasticena od takvih napada...

[LiquidBrain]

Vidak,
ovo nema veze sa joomlom, drupalom, wordpressom ili babinim pekmezom. Ovo ima veze sa internim sigurnosnim polisama i praksama. Da iole postoje nekakve polise koje moraju da se postuju, ne verujem da bi neko ostavio uobicajene lozinke kao sto su admin12345 ili 12345...

Da bi se sve to dovelo u red potrebna je ogromna podrska iz menadzmenta firmi ili glavno komandujucih iz institucija, i to je posao koji ne obuhvata samo proces pisanja tih polisa, te polise je potrebno i prakticno testirati, podici svesnost o sigurnosti kod zaposlenih, prilagodjavati, i na kraju forsirati primenu istih...

A pre toga, treba uraditi klasifikaciju vrednosti, i sta treba da se cuva, i koliko kesa sa druge strane uloziti u to...

[ppavlovic]

A zar nije praksa da se kod takvih sajtova ogranici pristup sa eksternih ip adresa, tj. dozvoli samo sa odredjenog subneta ? Micim, onako ...

[Nemanja Avramović]

sredili? nisu ga još ni sredili, samo zamenili index, dok nađu nekog ko ume da instalira joomlu xD