kafi

Widać Archi, że nie miałeś z tym żadnej praktycznej styczności Owy grep, który wywołałeś pokaże w większości... poprawny kod aplikacji. Bo problem w tym, że owe wywołanie base64 może być realizowane w całkiem dziwaczne sposoby, właśnie po to, aby takich leniwych administratorów ogłupiać Ot np. taki - wzięty z pierwszego lepszego phpshella $s_func="cr"."eat"."e_fun"."cti"."on";$b374k=@$s_func('$x,$y','ev'.'al'.'("\$s_pass=\"$y\";?>".gz'.'inf'.'late'.'( bas'.'e64'.'_de'.'co'.'de($x)));');@$b374k(__TU_KOD__)

Grep i cat powiadasz... Problem w tym, że większość szkodliwego kodu to coś w rodzaju eval(base64_decode(convert_uudecode( <ciach!>

drwx------ 3 root root 4096 Jun 21 09:01 ghostrecononline.pl Jeśli do tego folderu może dostać się tylko root, to dalsze uprawnienia do podkatalogów są można by rzec nieistotne.

Router brzegowy to jest router, a nie firewall. Pracuje w warstwoe trzeciej. Jego zadaniem jest analiza adresu docelowego i przemieszczenie pakietu jak najbliżej adresata. Jako, że jest to warstwa trzecia, to operuje on na adresach IP. Nie interesuje go, co jest na wyższych schodkach piramidy - bo IP to nie tylko TCP, UDP i ICMP. Jest jeszcze chociażby GRE i tuzin innych protokołów. Hmm... To, co opisujesz, to realizuje urządzenie zwane... firewallem A ja nie. Bo filtry na urządzeniach brzegowych z zasady dotyczą wszystkich będących w danym AS. Więc jak sobie wyobrażasz, jakby Zenon Wredny zakupił sobie w takim Atmanie usługę i wyfiltrował na routerze brzegowym wspomniane 83.10.0.0/16 ?

Nie mówię tu o dropowaniu pakietów na własnym routerze. Chodzi o BGP Blackholing (RFC3882). http://www.computerworld.pl/artykuly/381614/Filtrowanie.na.masowa.skale.html

Widzisz. Analiza pakietów kosztuje dużo. Bo wymaga obróbki praktycznie do samej L7. Przewalanie ich dalej kończy się na L3. A nawet, jeśli analizował byś i tylko L3. To zdajesz sobie sprawę, że (pseudo)tablica routingu zawierająca od groma /32 spowoduje, że ogólna wydajność trasowania spadnie dosyć znacząco (wskazane było by poczytać, jak jest realizowany wybór trasy przez routery). Jeśli natomiast zaczniesz agregować trasy, to nagle przykładowo okaże się, że wyciąłeś 83.10.0.0/16. No i co dalej? Urządzenia sieciowe są coraz wydajniejsze. Ale w ogólnym rozrachunku mniej kosztowne jest przetworzenie po swojej stronie ataku i skumulowanie go na końcowym węźle, niż analizowanie go wcześniej. No chyba, że następuje wysycenie upstreamów... Ale wtedy rozgłasza się blackhole atakowanego adresu IP i ma się totalny spokój

Skoro nie mówi nic o czasowości umowy, to znaczy, że jest to umowa na czas nieokreślony Jasne... Wszyscy winni, tylko nie ty sam. Bo chociażby sam fakt pomyłki w przelewie wskazuje, że syf to raczej w twojej księgowości jest. Jeśli nie miał byś zawartej umowy, to nikt łaski nie robił by ze zwrotem (bo użerać się księgowo z darowizną też ciężko). A tak to cóż. Pewnie owy serwer i dane na nim zawarte są aktywne jeszcze do dnia dzisiejszego.

To, że może rozwiązać, to wcale nie oznacza, że bezwzględnie musi rozwiązać. A dopóki jedna ze stron umowy nie rozwiąże (informując drugą o tym), no to wzajemne relacje nie ulegają zmianie. Wyjątkiem jest umowa zawarta na czas określony, ale tu raczej chyba o takim przypadku mowy nie będzie. Jak bierzesz komórkę na abonament to też swoją niechęć do dalszego korzystania z usług operatora definiujesz tym, że po prostu przestajesz opłacać rachunki?

Cóż. Nie ma to jak odpyskować, zamiast grzecznie przyznać się do błędu, poprawić i przeprosić za uciążliwości. No ale pewnie znowu (tak jak w przypadku ujawnionych poprzednio luk) będzie śpiewka, że to darmowe, hobbystyczne itp. i produkcyjnych nadziei z tym nie ma co wiązać, a jak komuś nie pasuje, to wyp... PS: Zdajesz sobie sprawę, że ten ranking stracił na jakiejkolwiek wiarygodności przez to, bo klientowi zawsze można napisać, że działające systemy zabezpieczające tak nieudolny monitoring (bo jakże by inaczej nazywać wynikający z tego komunikatu błędu fsockopen na port 22 i nic poza tym) zidentyfikowały jako zagrożenie i wycięły permanentnie atakującego?

dd if=/dev/urandom of=smietnik.txt bs=2G count=1 Sorki, ale nie mogłem się powstrzymać. Jeśli naprawdę nie masz pomysłu, co zrobić, to każda próba będzie tylko sztuką dla sztuki. Może warto zoptymalizować posiadane usługi tak, aby nie marnotrawnić zasobów (i być może płacić nieco mniej)? Ewentualnie pogodzić się z tym, bo jeśli to jest powiedzmy 5GB na każdym z 10 VPSów, to obsługa owego rozproszonego storage może zająć ci więcej zasobów niż pracujące tam aplikacje

IMO bardziej wartościowe jest sprawdzenie przez dyżurnego przyczyny anomalii i podjęcie selektywnych działań, niż restartowanie na pałę wszystkiego, co się da. Potem może być za późno na jakąś diagnostykę... No ale musisz powiadomić ową firmę o tym. Ustalić termin wymiany. Zatrzymać usługi. Potem zweryfikować, czy wszystko wstało... Z automatu się tego nie zrobi (a ja osobiście nie chciał bym, aby owa firma wyłączyła mi serwer pstryczkiem kiedy jej pasuje - czyli w godzinach, w których z usług na tym serwerze korzysta najwięcej osób Jak trzymasz tam tylko swoje zabawki, to możesz sobie aktualizować do woli. Najwyżej jak coś zepsujesz nowymi wersjami, to swoje aplikacyjki webowe poprawisz. Ale w środowisku współdzielonym (i to jeszcze jakimś chociażby kilkunastoserwerowym) musisz liczyć się z tym, że każdy update może spowodować, że jakiś badziewnie napisany skrypt przestanie działać. A to rodzi telefony/zgłoszenia/etc. których obsługa zabieraja czas Jak dołożysz podejście roszczeniowe klientów (skoro działało, to dalej ma działać i klient ma to w dupie) to szybko wyleczysz się z unattended uprades na takich środowiskach

Możesz oczywiście nie wyrażać zgody... Ale odbiorca korespondencji może z nią robić co chce* Stały może i jest... ale patrząc po wypowiedziach na tym forum taki tyci mijający się z prawdą. No ale skoro pracowniku firmy już tu jesteś, to wytłumacz sytuację z owym listem, która się tu przewija? Skoro list został niby najpierw przeoczony a potem odebrany, to jakim cudem w systemie poczty polskiej jest prezentowany zwrot, no i autor twierdzi, że dostał zwrotkę listu... Doręczyciel przyszedł, wy zapuściliście na kopercie rentgena i odmówiliście jej przyjęcia? Takie troche nie trzymające się kupy to wszystko... Więc czemu wam wierzyć niby, że wysłaliście przelew, skoro go nie ma ani nie chcecie przedstawić potwierdzenia jego wykonania? Sorry winnetou, dla mnie to kolejna bujda w waszej grze na zwłokę. Będzie pewnie, że przelew zrobił wziuuum i nie odpowiadacie za systemy bankowe * - chyba, że wbrew odpowiednim umowom ujawnia informacje zakwalifikowane jako TAJEMNICA PRZEDSIĘBIORSTWA.

Wypełnienie formularza rejestracyjnego z akceptacją owego śmiesznego regulaminu może jak najbardziej być zawarciem umowy! Klient zawarł umowę z owym adminem, a nie z firmą kolokującą. Więc IMO jak najbardziej, nawet jeśłi jest to osoba fizyczna udostępniająca komuś skrawek serwera, to staje się service providerem. Inna sprawa jest taka, że nasza uośudo nie mówi nic o żadnych access providerach i service providerach, tylko o samym świadczeniu usług drogą elektroniczną. A to, że w Europie sobie wymyślili jakąś nomenklaturę, to póki nie znajdzie się to w naszych ustawach, to uwzględnianie jej gdziekolwiek (zwłaszcza w czynnościach prawnych) jest tylko pobożne życzenie twórców. PS: Obowiązki, jak to napisałeś, access providerów, to reguluje dosyć dokładnie Prawo Telekomunikacyjne.

Bo TAKA WŁAŚNIE usługę kupujesz. Ile można pisać ci to samo? Problem w tym, że w przypadku OpenVZ nie wiesz (zarówno ty, jak i usługodawca), czego się można spodziewać... Znaczy to, że masz do swojej niewyłącznej dyspozycji dane parametry. Czyli po prostu kto ma większe łokcie, ten dostanie więcej cpu/iopsów (bo pamięć to jeszcze tam dajmy że da się co nieco gwarantować). Dostaniesz rzetelną ofertę za równie rzetelną cenę... Zgadza się. Bo odchodzi ci narzut wielu systemowych procesów, które usługodawca bierze w tym przypadku na siebie. Obciążenie generowane np. przez panel administracyjny, daemona ftp, generowanie statystyk itp. nie są brane z twojej puli zasobów, tylko działają na koncie globalnym, a ty masz np. limity cpu/ram tylko dla swojej stricte aplikacji. Ale widzisz, istotą VPSów jest elastyczność konfiguracyjna [no i zasadniczo to, że serwer nie musi służyć koniecznie do hostingu webowego.

Tak trochę odkopując temat z zapomnianych czeluści... http://websecurity.pl/jor-pl-padl-ofiara-ataku-wyciekla-baza-klientow/

Od kiedy to płatnikiem usługi musi być podmiot dla którego się ją świadczy? Spójrz na inne branże - weź sobie np. brokera kurierskiego - jesteś jego klientem, jemu płacisz, ale tak naprawdę usługę wykonuje firma kurierska, gdzie nadawca i odbiorca to jest to, co tam sobie wpiszesz w formularzu, a jako płatnik wpisany jest numer billingowy brokera

To TY nie za bardzo rozumiesz raczej. Możesz zdecydować się na trzy opcje usługi: 1) wzięcia maszyny dedykowanej i braku jakiegokolwiek współdzielenia 2) wzięcia maszyny wirtualnej, gdzie określone jej podzasoby będą dla ciebie w pełni gwarantowane 3) wzięcia maszyny wirtualnej, gdzie masz podane maksymalne dostępne parametry, ale jako, że dostępną "moc" obliczeniową współdzielisz ich osiągalność nie jest gwarantowana w 100% w każdym momencie. Jeśli jesteś skąpiradło i decydujesz się na opcję trzecią, to musisz liczyć się z tym, że jak to napisałeś "wszystko wolno usługodawcy". Bo dokładnie na tym pod względem technicznym polega usługa, za którą zapłaciłeś Jeśli natomiast chcesz gwarancje, to są operatorzy, którzy mają odpowiednią infrastrukturę, pozwalającą technicznie zapewnić SLA. Jedną z takich ci wymieniłem. Tylko niestety budżet w ich przypadku nie jest raczej równowartością dwóch obiadów w porządnej knajpie

Jeśli nie można zagwarantować parametrów, to po prostu na zapytania dotyczące gwarancji się nie odpowiada, albo też odpowiada, że gwarancji po prostu nie ma - i to jest bardzo uczciwe wbrew pozorom w porównaniu do obiecanek gruszek na wierzbie, których technicznie i tak nie da się zrealizować. Przedstawiłem ci jedną z firm, w której możesz wykupić ściśle gwarantowane zasoby. Jak nieco poszukasz, to znajdzie się ich jeszcze więcej - także takich, które spiszą ci w papierowej umowie SLA zapewniane mierzalne parametry (a także sposób ich pomiarów i sankcje za odstępstwa) i je zagwarantują technicznymi środkami. Problem tylko taki, że jakiekolwiek gwarancje wiążą się ze stałym alokowaniem (a bardzo często to po prostu marnotrawstwo) zasobów, więc siłą rzeczy są odpowiednio droższe od mechanizmów statystycznej multiplikacji zasobów. Ale tak jest wszędzie. Jak idziesz na pociąg, to możesz sobie zabulić za przedział menedżerski, w którym będziesz siedział sam i nikt nieproszony ci nie będzie przeszkadzał, no a możesz kupić normalny bilet z miejscówką. Nie jest przy tym powiedziane jednak, ilu współtowarzyszy będziesz miał. Może ci się trafić, że akurat nikt nie wsiądzie, może wsiąść jedna osoba, a może i zestaw dwóch rodziców + trzech wrzeszczących non-stop dzieci + pięć walizek bagażu. Ot po prostu zależy od szczęścia

1) Bez ingerencji w stację roboczą użytkownika ciężko jest przekierować httpS://bank.pl na cokolwiek innego tak, aby nie generować żadnych alertów. 2) Spróbuj sobie wygenerować CSR dla CN zawierającego słowo BANK i przesłać go do podpisu do jakiegoś zaufanego CA. Obawiam się, że będziesz musiał się lekko wytłumaczyć po co ci to, no a nawet jak przejdzie a wrzucisz tam jakiś phishing, to nawet nie zdążysz zauważyć, jak certyfikat znajdzie się na CRL i wtedy przeglądarka rzuci błędem, że certyfikat jest unieważniony i nie będzie zielonej kłódki. 3) Mbank ma szyfrowany serwis transakcyjny pod inną domeną niż nieszyfrowany system handlowy. Cała ta ich zabawa jest zrobiona specjalnie, właśnie w celu zabezpieczenia się przed różnymi dziwnymi mechanizmami MITM będącymi ewentualnie gdzieś w sieci.

Przed tym też da się zabezpieczyć odpowiednio konstruując zestaw stron internetowych (przede wszystkim NIE robiąc przekierowania http>https) Jak podmienisz certyfikat, to dostaniesz błąd untrusted_issuer i dopóki jawnie nie zainstalujesz na komputerze klienta swojego pirackiego CA, to nie będziesz miał owego "zielonego" w pasku. W dużej części przeglądarek to nawet kłódka będzie przekreślona i świecąca na czerwono. I teraz sedno sprawy - jeśli wszyscy by używali certyfikatów podpisanych przez zaufane CA, to wtedy ten błąd u użytkownika by wywołał panikę, grozę itp. Ale skoro większość uczy, że no kliknij dalej/akceptuj/ignoruj zawsze, to dla takiego ZU robi się to normalne i nie zwraca uwagi, że to coś niedobrego, jak na stronie paypal.com, czy tam jegobank.pl wyskoczy mu taki alert, tylko go zaakceptuje, jak to robił na setce innych stron Tak jak pisałem - wystarczy dostęp do jednego z węzłów przez który przechodzi ruch. A właśnie po to się szyfruje, żeby z tych postronnych węzłów dostępu nie było.

On tu o żądaniach definicji gwarantowanych zasobów, a ty mu proponujesz VPZ z OpenVZ, który to z gwarancjami czegokolwiek ma tyle wspólnego, co statek kosmiczny ze statkiem morskim. Ani to CPU tam zagwarantować, ani to pamięci, ani to iopsów... nic więc dziwnego, że pytania do firm dających kontenery ovz odpowiedzi się nie doczekają. Bo ichszymi mechanizmami nie da się QoS gwarantować. Możesz spróbować zapytać o ofertę waw.net.pl (http://vmhosting.waw.net.pl/) Z tym, że przygotuj się, że za gwarancje i sla to trzeba odpowiednio zapłacić

Od kiedy to POŁĄCZENIE jest potwierdzane przez "zaufaną" firmę? Mnie tam zawsze się wydawało, że to potwierdzana jest tożsamość drugiej strony połączenia. Czyli to, że ten, który mówi, że nazywa się Kowalski to naprawdę jest Kowalski, a nie przebieraniec. Widzisz. Jeśli masz dostęp do jakiegokolwiek węzła, przez który ten szyfrowany ruch przechodzi, to możesz zrobić sobie MITM proxy - klientowi przedstawić się jako bank.pl (wygenerowany przez siebie), ruch najnormalniej w świecie odszyfrować i przekazać dalej. To samo zrobić z odpowiedzią. Więc IMO jest to w takich przypadkach tak samo bezpieczne, jak i zwykły protokół HTTP.

No właśnie... Skoro nie jest wg was potrzebny, to po co świadczyć na porcie tcp/443 usługę z certyfikatem, którego ważność wygasła w lutym? Jeśli twierdzicie, że SSL jest tam zbędny, to może lepszym rozwiązaniem była by obsługa ruchu tylko HTTP

W teorii niby firma jest zobowiązana do dostarczenia owego dokumentu księgowego bez dodatkowych warunków... ... ale w praktyce może dać ci promocyjną cenę z rabatem 10zł jak zadowolisz się elektronicznym obrazem faktury No a na stronie wszystko to są ceny promocyjne właśnie po odliczeniu wspomnianego "rabatu", więc jak chcesz papierki, no to płacisz cenę normalną (czyt. +10zł).

Temat z kwietnia, a wy dyskutujecie totalnie bezproduktywnie... bo... http://www.webhostingtalk.pl/topic/43696-sprzedam-forum-mlodziezowe/