[Pekezu Permiszzzyn][7.1-8.1] OTFucker - Koniec z XMLami!

Witajcie drodzy uzytkownicy!

Wiele juz bylo prosb, prób naklonienia do tego abyscie zrezygnowali z serwerow bazujacych na systemie plikow XML. Jest on niefektywny, powolny, nie oferuje tyle co SQL, ale przede wszystkim: Moze byc dla was zagrozeniem!

Ofc. dobrze skonfigurowany XML moze byc nie do zhackowania, ale i tak proponuje przesiadke na SQLa, gdyz TAKIE bajery na SQLu rzadko sie zdarzaja ( <patrzy ukradkiem na Archariusa i Rona> )

Dwa klipy ukazujace mozliwosc ogladania dysku innej osoby przez tzw. OTFucker ^^

Krotki klip ( ~ 1.5 mb ):

Kod:

---

http://www.speedyshare.com/575634939.html

---

Dlugi Klip, lanie wody + 3x show :P ( w tym jeden nie wypala, ale o tym juz w filmie xd )

Kod:

---

http://www.speedyshare.com/529510166.html

---

Jesli uwazasz, ze to wirus, wpierw sie poucz o plikach wykonywalnych, i przeskanuj przy okazji, by inni hackofobicy nie mamrotali w temacie niepotrzebnie ; p

Jezeli juz rozumiesz jakie zagrozenie i ograniczenia niesie zazwyczaj ze soba XML - Przenies sie na SQL juz dzis! Jest masa tutkow jak zaczac, a jesli masz troszke oleju w glowie, to latwo zalapiesz o co chodzi ^^. Poza tym, na SQL mozna np OTSCMSa postawic.. a wtedy to juz masz AAC marzenie :P


PS: Pekezu duuuzo glowkowal by w koncu wybrac dzial dla tego tematu xDDD

Kod:

---

2008-03-22
Pekezu
22:00:37ej
22:00:39nie
22:00:41daj w artykulach


2008-03-22
Ormin
22:01:09W artykulach?
22:01:11o OTS?

2008-03-22
Pekezu
22:01:19kurwa
22:01:22juz sam nie wiem

---

Dobra, ten temat ma moje pozwolenie i to jest taki apel-prozba, abyscie wreszcie poduczyli sie troche i zainwestowali w siliniki sql, bo te XML'owe sa poprostu latwe do rozwalenia i malo bezpieczne.

newermajnd

Wiem już gdzieś to czytałem... :/ ale w XAMPP'ie nie mogę wejść na localhost/phpmyadmin/

A w Webserv nie mogę wejść w phpmysql;(

I temat wg. mnie powinien być w artykułach, a poza tym spoko na bank dużo ludzi przekonasz;)
_____

Pozdrawiam Cyruś

W sumie można zrobić akcje "Leave XML!"
I usuniecie wszystkie silniki XML ;)
Namówi się inne serwisy do tej akcji no i gitara gra ^^
No a już i tak nikt nie robi silników XML więc.. ^^

Ta, mozna by bylo eliminowac pojedynczo ale
a) Nielegalne ( :P )
b) Za dlugo xd

A tak to moze choc troche osob przejrzy na oczy ^^

Polecam dlugi klip dla niedowiarkow!

@down
IMO Cafe OTS ktory posiada 92 graczy na chwile obecna NIE MOGL chyba byc newbie, a jednak byli podatni na to ,,przeoczenie", i dopiero po rozmowie na GG ,,zfixowal" to. Zapewne ocb. juz wiesz ;p
PS: Nie czytalem starego posta, a szkoda ; p

Dobra, czas zmienić posta, bo moje założenia(dot. minimalnej wiedzy o komputerach) były błędne. Po przyjrzeniu się niektórym elementom filmiku i drobnych uzupełnieniach wiedzy zdaje mi się, że "prawie" rozumiem metodę działania tego. Aczkolwiek wykorzystywanie bycia newbie w dziedzinie serwerów jest naprawdę nieuczciwe.

Ja moze to uproszcze, phpmyadmin sluzy do wczytywania czegos do jakiegos pliku, tak jak mozna z niego odczytac pliki i wrzucic je do tabeli ;)

Czyli to kwestia konfiguracji php? Z tego co tam wypatrzylem to chodzi o to ze tworzysz plik i w nim inkludujesz Shella. Nie rozumiem tylko kwesti md5. Base64 jest jasne ale ten md5 ni chu... I nie rozumiem dlaczego tylko XML, przeciez praktycznie dzialasz tylko na pMA i tym Shellu...
Wlasciwie to mogles opisac te luke i jak sie przed nia chronic.

BTW na tym dlugim filmiku jest ip twojego providera, Ktos sie moze zemscic :D

Kochanyyyyy znów pokazałeś na co Cię stać! Teraz już chyba niczym mnie Orminku nie zaskoczysz ^^

Jesli chodzi o bezpieczeństwo to i tak nie ma o czym gadać... Moze i XMLe sa banalne do wjebania się, ale za to SQL to jest dopiero easy pie ;|
Kto tutaj sie potrafi obronic przed glupim SQL Inj. ? Mimo, ze sposob jest banalny i na obrone i na atak ;s

Wiecie, to wykorzystuje glupote adminow XML'a i brak umiejetnosci czytania ; )
W kazdym razie - sqle sa bezpieczniejsze, bo deflautowo ta luke sie zamyka.

Szuwar, i co powie? Ze zrobilem apel + Filmik ktory potwierdza teorie? xD

Wolalem nie opisywac luki z prostej przyczyny: Dziecko neo przeczyta i zacznie sie masowe ogladanie dyskow i robienie formatów innym ludziom ( w Hauru są m.in. komendy CMD )

@SwietliQ
A to juz osobna sprawa, gdy wyprą te cholerne Swelie (Swoją drogą: Dziurawe jak ch*j ), i zostanie tylko Nicaw i OTSCMS, wtedy może być już nieco lepiej :p.

Cytuj:

---

.::Haxor::. napisał

W sumie można zrobić akcje "Leave XML!"
I usuniecie wszystkie silniki XML ;)
Namówi się inne serwisy do tej akcji no i gitara gra ^^
No a już i tak nikt nie robi silników XML więc.. ^^

---

Aż tak to lepiej nie co?:D XML to zagrożenie, ale wypieprzenie ich wszystkich to chamstwo xD. Jeśli już ktoś robi pod XML to jego sprawa na własną odpowiedzialność.A co do topicu to sam też przesiadłem się na SQL i nie żałuje:D

Cytuj:

---

cyruscyrus napisał

Wiem już gdzieś to czytałem... :/ ale w XAMPP'ie nie mogę wejść na localhost/phpmyadmin/

A w Webserv nie mogę wejść w phpmysql;(

I temat wg. mnie powinien być w artykułach, a poza tym spoko na bank dużo ludzi przekonasz;)
_____

Pozdrawiam Cyruś

---

Wybacz, ale co to jest phpmysql? O_o

@topic

SQL uzywam od zawsze... czekam tylko na nowy rev. SVN'u (gogo Wrzasq) który nie będzie obsługiwał XML'a (tak, to koniec dla dzieci XML'a) W dodatku w najnowszym rev. SVN'u wyjdzie kilka nowych dystrybucji oraz nowe bazy danych na co najbardziej czekam :) 'revdbsys' !

I co tu napisac
Crackerze jedeny a moze Hakerze??

POwiem tak co juz mowilem na gg jestes perfidnym cwaniakiem!!
Zabierasz dzieciom zabawe na "erpegie eksp x100 otsiach"


Ps. <gratulejszyns>

Mnie przekonałeś!
już zaczynam szukać jakeigoś silnika SQL, dzięki!

P.S. devteam brzmi znajomo...(kiedyś się bawiło w małęgo hackera...)

Czekajcie, czekajcie, bo on i na SQL coś znajdzie... :p
Rozwali każdy OTS, który mu się nie spodoba. Wykorzysta każdą okazję, aby zniszczyć osobę, której nie lubi ^^ Znam go od..... nie ważne ilu lat i wiem do czego jest zdolny :D

Chowajcie swoje XMLe do piwnicy! Schowajcie beznadziejne serwery SQL na strych! Inwestujcie w profesjonalne dedyki, bo tam ręka Orminka już nie sięga :D

Cytuj:

---

Elite Box napisał

Czekajcie, czekajcie, bo on i na SQL coś znajdzie... :p
Rozwali każdy OTS, który mu się nie spodoba. Wykorzysta każdą okazję, aby zniszczyć osobę, której nie lubi ^^ Znam go od..... nie ważne ilu lat i wiem do czego jest zdolny :D

Chowajcie swoje XMLe do piwnicy! Schowajcie beznadziejne serwery SQL na strych! Inwestujcie w profesjonalne dedyki, bo tam ręka Orminka już nie sięga :D

---

Czy ja mam ci przypomniec, na czym stoi torgonia? ;d

Teraz wystarczy pousuwać te wszystkie evo serwery i będzie spokój. Heh ale już widzę te wszystkie tematy z problemami, że ja nie umiem wejść do phpmyadmin\ bazy SQLite :(.
Btw. Ktoś się włamie na SQLite? :D

Cytuj:

---

apitis napisał

Witajcie drodzy uzytkownicy!
Jest on niefektywny, powolny, nie oferuje tyle co SQL, ale przede wszystkim: Moze byc dla was zagrozeniem!

---

Dawno nie widziałem tylu nieuzasadnionych oskarżeń.
1. Nieefektywny - zależy co rozumiesz pod tym słowem. Jest jak najbardziej efektywny. Co nie działa? Działa jak najbardziej.
2. Powolny- podczas uruchamiania oraz wczytywania pliku np. podczas logowania. Nie robi to najmniejszej różnicy dla graczy wlogowanych. Chyba nie zbawi nikogo 2-3 sekundy dłuższego czekania przy logowaniu.
3. Może być dla was zagrożeniem- samo podłączenie komputera do sieci jest już dla niego zagrożeniem. Ale jak ktoś jest takim baranem że nie potrafi zabezpieczyć OTSa to po co go w ogóle stawia? XML dobrze zabezpieczony jest równie bezpieczny co SQL a nawet szczerze Ci powiem że łatwiej mi było się włamać do bazy danych SQL niż XML :D.

Ja używam XML i nie mam zamiaru go zmienić chyba że podacie jakiś sensowny powód (być może o czymś nie wiem - człowiek się całe życie uczy).

Wszyscy twierdzą że XML jest wolniejszy ponieważ wczytuje z wielu plików ale z tego co wiem to podczas uruchamiania wczytuje wszystkie pliki i w czasie logowania gracza. Lecz nie ma to wpływu na graczy już zalogowanych (za wyjątkiem serwer save). Czyli wychodzi na to że podczas logowania włączania i save'owania jest wolniejszy od SQL a w reszcie przypadków równie efektywny. Jeżeli się myle poprawcie mnie :D.

Co prawda na SQL przeszedłem parę dni temu, to i tak dobrze wiedziec ;)
Mam nadzieję, że to będzie koniec pro evul full edit evo x 999999999 erpegie

Swoją drogą to hacking to ciekawa sprawa... Muszę się za to zabrac ^^ (nie, nie będę wam kradł p setów... chodzi mi o prawdziwy hacking...)

szok normalny szok co można zrobić, ale nie da się jakoś zabezpieczyć serwerów xml??

@3up
1. Wzgl. SQLa jak najbardziej jest mniej efektywny ^^
2. No, tu faktycznie zdaje się, oskarżyłem XML bezpodstawnie
3. Magic_gpc_quotes ON , i już byle osioł nie umie wykonać sql injection na swelie =d tak czy siak - Jak upniesz shella via sql injection ( wiem ze sie da ) to Ci pogratuluje , bo moje proby spelzly na niczym.

Ja tak wiesz znam się na zabezpieczeniach średnio na jeża (to co mnie w szkole nauczyli i z NETa). Po prostu jak się włamuje to trojanami etc. Mógłbyś dodać jakąś liste zabezpieczeń żeby się było jak najciężej włamać pod XMLa. Zależy mi szczególnie na tym jak skutecznie zabezpieczyć OTSa XML przed tą dziurą co z niej w filmikach korzystałeś. Domyślam się że samo założenie hasła na phpmyadmin i w silniku w admin.xml nie wystarczy, bym je całkiem wywalił ale czasem z niego korzystam :D a ustawienie go na samą sieć lokalną też raczej w moim wypadku odpada :/.

@St.Mike(n*up):
Początkowo napisałem podobnego posta. Ale potem mój światopogląd na temat parapetów uległ zmianie. I po jego uwzględnieniu faktycznie okazuje się, że xml jest i wolniejszy(bo poprawnie postawiony xml byłby szybszy od sql'a(wyjątek: strona - ta musiałaby być naprawdę nieźle musiałaby być skonfigurowana, by mniej spowalniać serwer niż przy sql'u) i mniej plastyczny (bo opis jak wszystkim ustawić level 100 ma więcej niż 3 linijki) i mniej bezpieczny (jak w wypadku tego błędu).

#Gniew_Mroku:
Masz racje ale tak się składa że ja już se wszystko tak skonfigurowałem że po prostu żal mi to wszystko zostawić. SQL znam tylko podstawy a nie mam czasu się uczyć bo muszę najpierw c++ ładnie opanować :/ Za to bazy XML są łatwe do zarządzania poprzez PHP które dobrze umiem. XML już mam tak ładnie przystosowany że jest równie wydajny (niemal) co SQL więc mi to nie przeszkadza. Teoretycznie zabezpieczyłem go dobrze ale wole jeszcze się co nieco dowiedzieć żeby mieć pewność "strzeżonego Pan Bóg strzeże".

#down:
Nie tylko tamten kod jeszcze hasło do phpmyadmin trza zmienić xD, po prostu nie wiem czy coś jeszcze.

Chyba wiem jak temu zapobiec...w admin.xml jest taki kod powalony i go se zmienic trzeba nie wiem czy to zadziala ale i tak zmieniam na SQL xP
Dobrze że to pokazałeś, bo never bym nie przeszedł na SQL :D

Albo jest proste zabezpieczenie:
For Linux :

Kod:

---

touch confg.php
chmod 600 confg.php

---

For windows :
Zrobić pusty plik confg.php i dać jemu coś takiego piknego co się nazywa tylko do odczytu :P


A ja do tego mam takie zdanie :
Wale OTSy na SQL ale samo SQL lubie.

Cytuj:

---

xRay napisał

Albo jest proste zabezpieczenie:
For Linux :

Kod:

---

touch confg.php
chmod 600 confg.php

---

For windows :
Zrobić pusty plik confg.php i dać jemu coś takiego piknego co się nazywa tylko do odczytu :P


A ja do tego mam takie zdanie :
Wale OTSy na SQL ale samo SQL lubie.

---

Skoro dasz tylko do odczytu, to jakie to zabezpieczenie, skoro dalej mozna go odczytac @_@

No tak odczytać się będzie dało ale nie będzie się dało zmienić treści tak na chłopski rozum :p

O lol..
Poprostu w konfiguracji skryptu zamienie confg.php na lolik.php i wasze ,,zabezpieczenie" przestanie dzialac :p

Ja wam powiem jedno chcecie mieć w pełni zabezpieczony komputer? Odepnijcie go od sieci, wyłączcie i zamknijcie hermetycznie w opancerzonym pomieszczeniu najlepiej w jakimś schronie. Ziomy się na RL Tibie włamują wiec co to dla nich za problem na OTSa? Nie da się w pełni zabezpieczyć OTSa ale da się go zrobić stosunkowo zabezpieczonym po prostu trza być na bieżąco w temacie zabezpieczeń i hackingu wtedy OTS będzie zabezpieczony w ponad 99%. Ja staram się regularnie odwiedzać tematy jak ten, strony poświęcone hackingu, tu i ówdzie dopytać się. Osobiście polecam też linuxa (Mandriva jest fajny - a compiz fusion na linuxy tworzy najpiękniejszy system na Świecie w wymaganiach mniejszych niż Aero na Viste około 8-krotnie!). Dodam że linux jest bezpieczniejszy od Windy aczkolwiek trochę ciężko się na nim OTSy hostuje do tego to lepszy jest winda serwer - bo łatwiej ale jak troszke zrobią lepszy WINE (Wine is not an emulator) (bo niestety nie działa na silniki:( ) to wtedy... Linux, Linux i jeszcze raz Linux. A dla zapaleńców - Windows obsługuje do 64 (Vista chyba 256) procesorów a linux 256 - ale tysięcy, po drobnej przebudowie aczkolwiek tym samym jądrze obsługuje najlepszy komp świata (jak dobrze pamiętam 411 tys proców po 800 MHZ).

... Ale po co zabezpieczać jakiś plik??? Na chłopski rozum - jeśli już stawiam serwer XML to tylko i wyłącznie po to, żeby serwer SQL (oraz phpMyAdmin ewentualnie, ale to już znikomo) nie muliły kompa i ich po prostu nie było... Jest to jedyna możliwość, która pozwala mieć serwerom xml przewagę nad sql'owymi.

@St.Mike:
Może obsłuży, ale po co? ;p Dla mainframe'ów jest z/OS, a jeśli ktoś ma już te 200 procesorów to nie będzie ich marnował w PC'ecie tylko mainframe'a kupi ;pp No chyba, że dla sportu.

Po krotkich rozmyslaniach z panem @up doszedlem co do czego sluzy i jak to dziala i mysle ze owy sposob moze dzialac rownie dobrze na SQL jak i na XML. Za to niewiem jak token obliczyc bo wyciagnac sie z configa nie da i do blowfisha ani przechwycic ze strony (no wkazdym razie jakis tam token jest tyle ze nie pasuje). i tylko to jest imo problem trudny do rozgryzienia w calym tym OTFuckerze. A zabezpieczyc tez sie mozna... co prawda nigdy 100% ale np wylaczyc include z serwerow zewnetrznych etc.

W kazdym badz razie niezla sprawa z tym bledem.

@up
Wylaczenie includow faktycznie wiele da, lecz kto bedzie chcial wrzuci shella via system($cmd), passthru($cmd) :P

Narazie jest zbyt nudne jak by weszło w życie tibi napewno by ktoś dopracował ...

Z tego co widziałem to na OTSie SQl tez można tak się włamać... na każdym bo to chyba nie ma nic wspólnego z silnikiem ale acc makerem a raczej programem na jakim stoi... na web servie głównie który jak wiadomo ma phpmyadmin ale nie wiele osób pomyśli żeby założyć na nim hasło :/ dodam jeszcze że najlepiej żeby hasło miało 20+ znaków, znaki specjalne np. ^%$#. Cyfry, duże i małe litery. Wtedy jak ktoś HASH wyciągnie to jak ma niewiarygodnie szybkie tęczowe tablice to w 5 lat może go odkoduje :)

#Pekezu jak zrobisz pusty plik i dasz tylko do odczytu to nie będzie można nic do niego zapisać nie ? Wystarczy pomyśleć logicznie -.-

Bring
Up
My
Post

:o

Cytuj:

---

xRay napisał

#Pekezu jak zrobisz pusty plik i dasz tylko do odczytu to nie będzie można nic do niego zapisać nie ? Wystarczy pomyśleć logicznie -.-

---

A jaka jest przeszkoda wzucic szkodliwe oprogramowanie w plik o innej nazwie? Pomysl troche ; P

Można jeszcze zrobić coś w typie akcji " Leave XML, USE SQL " I na każdym forum dać dokladny poradnik, jak co sie robi w sqlu itp

up poco skoro ktos ma acc na 111111/tibia to mu nic niegrozi

@up
Rofl, moze i, ale to taki apel z ktorego wynika ze XML to za przeproszeniem zjebaństwo.

Takie jest przesłanie ; p

Cytuj:

---

Pekezu napisał

Dobra, ten temat ma moje pozwolenie i to jest taki apel-prozba, abyscie wreszcie poduczyli sie troche i zainwestowali w siliniki sql, bo te XML'owe sa poprostu latwe do rozwalenia i malo bezpieczne.

---

to w takim razie poradz mi jakiś dobry oprócz Forgottena, B-Foxa taki bez debugów bo na tych wymienionych wyżej jak sie teleportuje do gracza to mu debug wyskakuje -.-

wszystko tak łatwo doświadczony umiał by zrobić a początkujący? pewnie ,że nie i silniki XML zawsze będą bo na sql początkujący sie nie znają

@up
Trzeba sie pogodzic z tym, ze OTSy to nie zabawki, i należy się przygotować do obcowania z nimi. Poza tym, XMLe juz wycofano, więc za rok i tak nie będzie wyboru, ze wzgl. na to, iż 8.0 lub niżej będzie już przestarzałe : D

Jestem jak najbardziej za taką akcją, ale apitis gwarantuje ci, że znajdą się śmiałkowie, którzy przerobią evo 0.7.8 pod 8.1+, niestety... Pobanować takich tylko.

Jak dla mnie powinni wyprodukować nowsze SVN, różniące się tylko minimalnie - aby pod nowsze SVN nie działały OTSy XML.

Jak dla mnie aptis powinien upowszechnić OTFuckera - wszyscy ze strachu o dyski twarde usunęli by OTSy XML, nawet nie robiąc kopii mapy, kont :)

W każdym razie...
Kto zrobił to XML?
Najebie mu xD

Pozdro,
Acedb.

BAUMP :P
Bring
Again
Up
My
Post