Bezpieczenstwo w resellerzoom.com

[Konrad Z. 1]

Stworzylem ten temat, aby uswiadomic was, dlaczego resellerzoom.com nie jest do konca dobrym wyborem.

Kupilem sobie konto i dostalem od nich maila z danymi do konta. Dopoki nie zmienilem dnsow mojej domeny to tymczasowo podali mi jak moge zobaczyc moja strone:

http://adres_ip/~nazwa_konta

 

Oczywiscie moja ciekawosc zmusila mnie do wykorzystania tego faktu. Zalozylem przykladowo dwa konta:

 

abc ( abc.com )

xyz ( xyz.com )

 

Postanowilem sprawdzic czy faktycznie podepne xyz pod abc:

http://abc.com/~xyz

i udalo sie Wyswietlila sie strona xyz.

 

Na tym moja ciekawosc sie nie skonczyla. Wszedlem na abc.com. Skrypt automatycznie nadal mi numer sesji 123456789 ( przyklad ).

Postanowilem sprawdzic czy jesli podepne pod domene abc.com konto xyz to zobacze numer sesji. Umiescilem na xyz skrypt wyswietlajacy numer sesji:

http://abc.com/~xyz/index.php

i co widze? 123456789

To oznacza, ze jesli znam nazwe czyjegos konta na tej maszynie to moge zaprosic jego uzytkownikow na adres http://abc.com/~xyz/index.php i przechwycic ich sesje. Nikt sie nie zorientuje bo domena jest abc.com, a nie xyz.com.

 

Zglosilem im ten fakt, a oni napisali, ze to nieszkodliwy problem. Ale to jeszcze nic.

 

Konto abc.com zuzywalo zaledwie kilkadziesiat MB transferu co miesiac. Na koncie xyz.com byl download, ktory zuzywal ponad 20 GB transferu co miesiac.

 

Poniewaz na koncie xyz domena nie dzialala wiec podawalem adres abc.com/~xyz/jakies_pliki

 

Wchodze dzisiaj do WHM. Patrze, a tu konto abc zuzylo ponad 20 GB transferu, a xyz 0

 

To oznacza, ze jesli znam czyjas nazwe konta to moge podpiac sie do niego i zuzyc caly jego transfer. Ot niespodzianka hehe.

Napisalem im kolejnego maila. Czekam wlasnie na odpowiedz.

[Malas 0]

To oznacza, ze jesli znam czyjas nazwe konta to moge podpiac sie do niego i zuzyc caly jego transfer. Ot niespodzianka hehe.

Napisalem im kolejnego maila. Czekam wlasnie na odpowiedz.

 

Z takim czymś to ja się jeszcze nie spotkałem..

ciekawe co odpiszą..

[Konrad Z. 1]

Przetlumacze to co mi odpisali:
Taka droga dostepu do strony www jest uzywana tymczasowo, kiedy twoja domena nie wskazuje na nasz serwer. Jesli ktos uzyje tego w celu kradziezy transferu i zlapiemy go, jego konto zostanie zawieszone/usuniete.

 

Teraz kazdy sobie moze ode mnie pozyczyc kilka GB transferu i nawet nie zauwaze.

[moron 0]

to tylko wykupic opcje za 7$ i zrobic mega download

kazdy plik przez inna domene ssac xD

[Konrad Z. 1]

Zauwazylem, ze w ciagu kilku dni zniknelo mi z mojego resellera 15 GB. Wszedlem do awstats i co widze? Sami zobaczcie:

http://img212.imageshack.us/img212/3695/resellerzoomyo9.png

 

Wszedlem na otwierana strone i widze, ze jest zhackowana. Ktos tam wladowal jakies pliki CS'owe, forumowe i inne skrypty. Wyslalem juz maila do resellerzoom.

[Konrad Z. 1]

Odpisali mi, ze juz to naprawili