Vlákno názorů k článku Nebezpečné webhostingy od Tomas - Dobrý den, Váš článek jsem si přečetl. Opravdu jeho...
-
Dobrý den,
Váš článek jsem si přečetl. Opravdu jeho obsah nemá žádný význam... snad jenom vystrašit neználka, to jde velice snadno.
co se týče toho /etc/password.. všichni víme, že právě proto, že tento soubor je přístupný, nelze v něm ukládat hesla... ŽE.
Je pěkné, že umíte přijít na jména administrátorů... asi vás ani ve snu nenapadlo, že mohou mít omezen přístup pouze z určitých oblastí interentu (tedy např. přes IP adresu (o tom co to je se dozvíte na wiki), nebo lokálně... že mohou mít povolen přístup pouze využitím RSA klíče, že mohou mít logován jakýkoliv krok který provedou. Také obsah toho souboru je administrátorem volen obezřetně s vědomím, že jej může kdokoliv vidět.
. to je jenom pár věcí kterými chci naznačit, že znalost /etc/password vám neřekne nic co by mělo hodnotu jinou než pro social engineering.
Sice bezpečnosti moc nerozumím... ale to že vy vůbec, to jsem i tak schopen poznat s velkou jistotou.
Spíše mne zajímá jak si vnitřně vysvětlujete absenci pozitivních reakcí na přínos článku. -
uživatel si přál zůstat v (neregistrovaný)No, mezi "zemreneho" a "zamereneho" je imho víc než rozdíl chybějícího písmenka, už vůbec nemluvě o perlách jako "s těží", nebo v článku samotném "potencionální zákazníci", třikrát slovo "nemalý" v prvních dvou odstavcích, "dokáži" atp. Od člověka, který současně působí na internetu a píše články pro širokou veřejnost, bych očekával, že si bude v případech, kdy si není jistý, otvírat pravidla.cz , aby se přesvědčil.
Ale máte pravdu, v této fázi jsou to žabomyší války. Uvidíme, jak se vytáhnete v dalších dvou dílech. Téma je to zajímavé, o tom žádná, a pokud se díky Vám veřejnost dozví nějaké konkrétní nové informace, pak tedy díky. -
anonymní
Jako autor jsem OPAKOVANE upozornil na to, ze se jedna o serial a ze prvni dil je zameren teoreticky pro sirsi verejnost, pricemz zbyvajici dva se tykaji praxe.
Me je zase stale zahadou, proc tady vydavate jako "clanek" neco, co by se veslo do perexu prvniho dilu skutecneho serialu, kterym se tak rad ohanite (pravda, vyjma one jiz zmine masturbace ega pred pubertalnimi vrstevnicemi, k tomu to poslouzi vytecne, ovsem drtivou vetsinu ctenaru to nezajima :P) -
Nestoji mozna za nic jako clanek, jako soucast serialu neni spatny, nebot je urceny pro ctenare, kteri se s konfiguraci serveru nikdy nesetkali, ale presto sluzeb webhostingu vyuzivaji, coz je naprosta vetsina zakazniku mass virtual hostingu.
Co konkretne myslite slovy "nezvladate kritiku"? Nezvladam ji prozatim pouze po casove strance, jinak vsem na jejich nazory odpovidam a snazim se argumentovat, coz se o prispevcich, na ktere reaguji, v drtive vetsine pripadu rici bohuzel neda.
Uz nekolikrat jsem psal, ze mi krome mnozstvi vulgarismu vadi i smyslena fakta a vy toho presto nenechate. Kde jste zase prisel na to, ze za sebou nemam zadny seriozni projekt?
Muj pristup k diskuzi je pouze zrcadlem jednotlivych nazoru, pokud me budete urazet, aniz byste svoji kritiku podlozil, necekejte, ze si Vas budu vazit. Podle toho vypadaji i moje reakce, chovejte se slusne a i ja Vam slusne odpovim.
K cemu by mi melo Vase jmenovani pomoci?
Posledni odstavec je opravdu kuriozni. Co takhle ho vzit a zkusit aplikovat na muj clanek? -
Pochvaly jsem necekal, zaroven vsak ale ani takto vulgarni a pribarvene komentare. Za debila jsem oznacil pouze jednoho ctenare, ktery si to zaslouzil, nebot se tak choval, pricemz na moji hlavu padlo tech urazek mnohem vic. Kdyz se dotycnemu ctenari omluvim, omluvi se pak i ty desitky vulgarne reagujicich autoru mne? Pochybuji, takze se tim "debilem" neohanejte, kdyz neumite byt nestranny.
-
Ano, jsem autor clanku. Jako autor jsem OPAKOVANE upozornil na to, ze se jedna o serial a ze prvni dil je zameren teoreticky pro sirsi verejnost, pricemz zbyvajici dva se tykaji praxe. Proc se zde presto neustale objevuji kritizujici komentare, ze jsem neukazal nic praktickeho, je mi tudiz zahadou. Kolikrat budu muset jeste zopakovat, ze se jedna o serial, aby to lide pochopili?
PS: Nejde o umysl, k novym komentarum "tam dole" jsem se jeste nedostal, takze vydrzte =) -
Nikoho jsem za idiota neoznacil. Nejsem odpurcem kritiky, jedna-li se vsak o kritiku konstruktivni a opodstatnenou, takovych komentaru je tu poskromnu. Nazory typu "sracka" a jine vulgarni vyrazy lze jen s tezi brat vazne, nemluve o vymyslech, ktere zde zaznely. Inteligentni ctenar by s kritikou pockal na zaverecny dil a nesnizil by se k vulgarismu a urazkam.
PS: Kontrovat chybejicim pismenkem bych ocekaval od nekoho, komu dosly argumenty nebo dosud neni drzitelem obcanskeho prukazu, nikoliv vsak od osoby, ktera se povazuje za inteligentniho ctenare. -
is (neregistrovaný)Ve sve reakci nize jsem se mozna nevyjadril dostatecne jasne (nebo jste ji prehledl), takze to zkusim jinak. Vy jste autor clanku. Vy mate dat svym ctenarum nejakou ukazku, ze opravdu vite, o cem pisete, mate zkusenosti a znalosti z praxe. Jedna veta pod clankem, ze se aktivne zabyvate tim a tim, do tohoto opravdu nespada. Nekolik ctenaru Vas pozadalo o informaci o Vasem profesionalnim pozadi, coz je zcela legitimni pozadavek a je to beznou soucasti jakehokoliv odborneho clanku. Proc jste jej neposkytl?
Jestli jde o prehlednuti, tak samozrejme rad pockam. Jestli jde o umysl, zajima mne duvod. -
Prekrucujete to, co toto vlakno rozpoutalo. Nikde jsem netvrdil, ze se timto zpusobem masove hackuji servery, pouze jsem reagoval na nazor, ze data obsazena v souboru /etc/passwd jsou naprosto k nicemu, coz je hloupost.
Mohu vedet nazev alespon jednoho webhostingu, ktery jste spravoval? Lepe bych si pak udelal obrazek o Vasich schopnostech zabezpecit server a vic bych si Vas pak pripadne vazil. -
anonymní
Odsoudit jej hned na zaklade prvniho (a navic teoreticky zemreneho) dilu, ktery byl urceny spise laikum, nez odbornikum, nepovazuji za fer jednani.
Zatimco oznacit kritiky za idioty je ohromne fer... Jak jiz bylo nize receno, pokud uz nemuzete jinak, nez publikovat bezobsaznou omacku bez chuti a zapachu, tak priste napiste, ze se jedna o clanek "for dummies" a inteligentni ctenar ho zajiste preskoci. Jen tak nejak nechapu, kde se ve vas bere presvedceni o teto cilove skupine. (Ad "zemreneho" - Freud je svine, co? :P) -
A kdybych tu zpravu tedy podal jeste obecneji, napriklad tak, jak popisujete v poslednim odstavci, pak byste mi uveril, ze to opravdu umim? Naopak, bylo by to jeste horsi. Toto je tridilny serial, vyckejte proto s kritikou na zaverecny dil. Odsoudit jej hned na zaklade prvniho (a navic teoreticky zemreneho) dilu, ktery byl urceny spise laikum, nez odbornikum, nepovazuji za fer jednani.
-
anonymníAno, neumím to. Nedělá mi to problém, klidně to přiznám. Ale vy jste mi nedal žádný důkaz, že to sám umíte. Já o tom alespoň nepíšu.
Zamyslete se nad tím, kdo jsou čtenáři Lupy. Kdybyste psal článek pro MF DNES (čtenáři fronty a Lupy se mohou do jisté míry shodovat, pochopitelně), pak je to v pořádku, tam nikdo neočekává odbornost. Nikdo ji nechce. MF DNES denně vydává několik velkých sešitů, které je nutno zaplnit. Na Lupě vycházejí 2 články za den a čtenáři oekávají nějakou odbornost a úroveň. Čehož se jim dneska nedostalo.
Shrňme informace z článku: české a zahraniční sdílené hosingy jsou nebezpečné, asi je umíte nabourat, není to těžké, příště si popovídáme o nastavení serveru, je lepší mít vlastní server (jeho natavení mohu zmršit,protože o tom nic nevím a bude ještě méně bezpečný než běžný sdílený webhosting). To jsou informace tak na zprávičku a i ten blbý Macich přidá alespoň nějaký graf, či čísla... -
Zacnete nejprve u sebe, stejny postup bych totiz doporucoval i Vam, navic nemate poneti o tom, jak vypada konstruktivni kritika. Pokud se vecer vratim k pocitaci a najdu pod clankem 30 prispevku vulgarne urazejici moji osobu a clanek, pak to za konstruktivni kritiku opravdu brat neumim. Pod timto si mam predstavit ty, kteri tvori ctenare Lupy? Ti rozumnejsi, ac by se jim uvodni dil treba nelibil, pockaji se svoji kritikou na zaverecny dil a nebojim se, ze se od nich dockam vulgarnich nadavek. Tak si predstavuji ctenare Lupy...
-
mn (neregistrovaný)Ukazte mi jediny _vetsi_ hosting, na ktery lze proniknout timto zpusobem.
Mel jsem ve sprave radove stovky serveru, adminoval/sefadminoval u jednoho z nejvetsich hostingu, ani ted nemam na starosti zadne male veci (a jsem popravde receno rad, ze uz nedelam hostingy), a verte ze na _zadny_ ze serveru, ktery jsem kdy spravoval nebo nekomu predaval, byste se timto zpusobem nedostal. :) Ja proste tvrdim, ze to co rikate neplati, nebo plati u miziveho procenta vyslovene hloupych spravcu serveru. A skoro bych rekl, ze pro klienta je snad horsi kombinace dedikovany server - vlastni nekompetentni admin nez klasicky webhosting v rukou nekoho kdo vi co dela. -
janforman.com (neregistrovaný)Teoreticky to možné je, ale nepředpokládal bych že těch pár adminů si nastaví něco triviálního. To že existuje spousta lidí co si nakliká Debian a pak provozují superprofi hosting s Xkama to je nezpochybnitelný fakt (znám takové), to by mohly být potencionální cíle. Co se týče velkého množství ukradených dat na internetu tam bude problém jinde (trojské koně - sou fakt prima :-D)
-
Za tu posledni vetu se omlouvam.
Co je normalni heslo? Myslim, ze afera se slovenskym NBU a zkusenosti s vykradenymi databazemi nabizenymi volne ke stazeni na internetu jasne dokazuji, ze si lide normalni hesla nedavaji. Netvrdim, ze ma cenu zkouset prolomit hesla k uctu root atp., tyto zajiste kvalitni hesla obsahuji. Prave kvuli tomu je ale potreba najit ucty, ktere nejsou standardni, tedy ty ostatnich uzivatelu. Tyto ucty totiz "nelze" uhadnout a proto nejsou v mnoha pripadech opatreny tak dukladnym heslem. Soubor /etc/passwd se pak stava skvelym pomocnikem pri tomto typu utoku na sluzby typu SSH, FTP atp. -
is (neregistrovaný)Vite, kdyby slo jen o pripad nekolika "lidi typu" mne a dalsich jmenovanych, tak by to mozna byl pochopitelny argument. Vsiml jste si ale, ze zcela vsichni komentuji na Vasi dnesni ukazku (jak v clanku, tak v diskuzi) negativne a nejde jen o par izolovanych jedincu? Mozna i to by stalo za zamysleni...
P.S.: Pozornemu ctenari dozajista neujde, ze ackoliv vymena nazoru dostava reakce kazdou chvili, nekolik slusne formulovanych zadosti o nejake profesionalni pozadi autora (coz je ostatne bezna vec u autoru jakychkoliv odbornych clanku) bylo ignorovano... Pozorny ctenar pravdepodobne take premysli proc. -
mn (neregistrovaný)Vase projekty jsou i Vasi vizitkou. Kdyz napisete clanek, ktery nestoji za nic, rekne Vam to tu v diskusi dalsich 20 lidi, nezvladate kritiku a jeste za sebou nemate zadny seriozni projekt, nemuzete cekat pozitivni odezvy.
Vas clanek vyslovene podnecuje k neprilis pozitivnim reakcim. Vas pristup v diskusi jeste vic.
Sice me tesi, ze jste me jmenoval, ale myslim, ze to Vam moc nepomuze...
Cele by to slo zvladnout s chladnou hlavou, stacilo by kdybyste se udrzel nad veci, nekterym commentum se dejme tomu zasmal, neco prijal, s necim polemizoval a vse by mohlo dopadnout treba i pozitivne pro Vas. Nicmene kdyz predvadite to co predvadite, cekejte tak maximalne vysmech. -
Vas komentar predpoklada, ze kazdy uzivatel webhostingu zaroven rozumi i jeho konfiguraci. Kolik takovych lidi ale je? Odhaduji, ze ani ne 20 %. Zbyvajicich 80 % se s konfiguraci nikdy nesetkala, nanejvis s "jakousi" direktivou safe_mode. Pokud by Lupa zverejnila serial az od druheho dilu, 80 % uzivatelu webhostingu by z toho mela pramalo, zatimco takto si mohou udelat snadno obrazek, aniz by se topili v direktivach, o kterych nikdy neslyseli.
Kdo tvrdi, ze mi musite verit? Proc si to rovnou nezkusite sam, ziskat data cizich uzivatelu? Protoze to neumite? Kritizovat ale umi kazdy... -
janforman.com (neregistrovaný)Celá tahle diskuze je zbytečně zběsilá :-D ale v tomhle s ostatními souhlasím. Tato informace je téměř bezcenná pokud jsou použita normální hesla. Mimochodem nepsal bych "Proc komentujete neco, cemu nerozumite" vy zde všechny znáte? Občas se tu totiž může vyskytnout někdo kdo opravdu do linuxu něco napsal. Doporučuji jednat s chladnou hlavou :-)
-
Tento serial jsem nepsal proto, abych nekomu dokazoval svoje vedomosti, ale aby si uzivatele mohli udelat obrazek o stavu svych webhostingovych partneru. Jedna se o prvni dil serialu, coz vsak nekteri nedokazi ani pres opakovane upozorneni pochopit a divaji se na clanek jako celek, nikoliv fragment, coz pak opravdu pusobi ponekud nezazivne.
Jestli jsi si dosud nevsiml, odpovidam na prispevky stejnym zpusobem, jakym je psal autor. Pokud jsou psany slusne, take slusne odpovim, pokud me urazeji a nejedna se konstruktivni kritiku podlozenou argumenty, rovnez se chovam agresivne, ale nikdy jsem neurazil nikoho, kdo by nejprve neurazil me. Pokud se ja podle tebe chovam ve svych odpovedich jako frajer, jak se pak chovaji autori onech urazlivych prispevku?
Narozdil od tebe a lidi typu 'is' nebo 'mn' dokazi argumentovat a podlozit sve odpovedi necim jinym, nez "sracka", "zvast", "soom.cz lol", "machrovani", "tupec" atp. Temto lidem argumenty chybi, proto si vymysleji hlouposti, kterymi se pak ohaneji:
- ze jen machruju
- ze jsem frajer
- ze jsem hacker
- ze ziskam roota za 10 minut
- ze neumim vic nez nainstalovat XAMPP
- ze jsem Ales S.
- ze se snazim nekoho ohromit/sbalit
- ze crackuju/hackuju za penize
Pritom ucelem tohoto serialu bylo lidem pouze pomoci pri vyberu bezpecneho webhostingu, NIC vic. Moje osoba, zkusenosti nebo SOOM.cz s tim nemaji naprosto nic spolecneho. Kdo by se tedy nad sebou mel zamyslet? Ja, nebo lide, kteri si podobne nesmysly vymysleji? -
Pri pohledu do souboru passwd soucasneho webhostingu jednoho z mych projektu vidim krome systemovych uctu dalsich 6 uctu spravcu systemu. Pri pohledu do passwd souboru naseho nejvetsiho freehostingu vidim opet prihlasovaci jmena spravcu systemu, ktere bych jen tezko mohl uhadnout.
Proc komentujete neco, cemu nerozumite? Me uz to opravdu nebavi obhajovat... -
mn (neregistrovaný)Boze muj, Vy asi fakt mate k rozumu daleko, a to jsem po celou dobu naivne doufal, ze se proberete a zacnete vystupovat alespon trochu normalne.
Jestli Vas pochopi Vasi ctenari JE Vase vec a tahle diskuse s tim PRIMO souvisi.
Laskave si taky pred reakcemi ujasnete co Vam kdo sdeluje.
Plne souhlasim s Jaromirem Adamkem, myslim ze to vystihl naprosto presne.
Kolik Vam, clovece, je? Uvedomujete si vubec kdo tvori ctenare Lupy?
Predtim mi to prislo, priznavam, ponekud zabavne, ale to co tu ted predvadite je opravdu mimo. Naucte se vyrovnavat s kritikou! -
"alespon bych si usetril 5 minut prace =)"
Když už jsi takový borec Martine, tak jsi měl napsat zajímavý úvod. A ne ten blábol s tím, že jsi někde něco hacknul, a že někde jinde je zase /etc/passwd a pak se tady ještě vyjadřovat jako nějaký frajer v diskusi stylem "to myslíte vážně?".
Podívej se, mě tady dnes pěkně zkritizovali můj blog, a to je blog. Ty jsi vydal ale článek na odborném serveru (byť je to první díl seriálu), který je informačně horší, než ty články na mojem blogu.
Tak tu přestaň machrovat, za kolik co crackneš, či hackneš, blbě se ptát, jestli to myslíme vážně, a zajisti ať rychle výjde druhý díl, který nás doufám už informačně uspokojí, a kde se něco dozvíme.
A to myslím vážně :).
A taky to myslím upřímně :). -
is (neregistrovaný)Vite, ja mam dojem, ze o vetsinu prihlouplych komentaru se docela efektivne starate Vy. Mirne machrujici hlasky jako "Zkracene - na /etc/passwd server nehacknete Vy a pokud se domnivate, ze co neumite, neumi ani zbytek sveta, tak ... radeji nic ;)" mozna pusobi silnym dojmem na vetsinu ctenaru soomu (tedy ty, kteri jeste obcansky prukaz nemaji), ale obavam se, ze u vetsiny normalnich lidi uz to zanecha trochu jiny dojem...
-
anonymníPůvodně jsem si myslel, že váš článek je vtip. Že prostě Lupa vydala jen jeho dost ořezanou část, chvíli se bude bavit na můj účet a pak jej zaktualizuje do plné podoby. Leč nyní je večer a nikde nic, čili to asi vtip nebyl.
Ten článek postrádá jakékoliv důležité informace, které by šly ověřit. Místo toho předhazuje iracionální blbosti typu "provedl jsem útok na servery webhostingu (nějakého) a povedlo se. A i když jsem si to asi vymyslel, musíte mi věřit". K tomu lze říct jen to, e já dnes taky obědval.
Tohle žádný úvod není, nebyl a nemůže být. To je perex. Návnada k přečtení něčeho, co chybí, co neexistuje. Ten článek prostě neměl vyjít. Lupa měla přistoupit až k 2. dílu, pokud osahuje více informací a kvalitnější formu. -
"Uživatelská jména lze odhadnout i bez tohoto souboru."
To myslite vazne? Muzete prosim odhadnout, jaka uzivatelska jmena jsou uvedena v /etc/passwd napr. na nasich nejvetsich freehostinzich wz.cz a ic.cz, aniz byste se do nej podival? To bych chtel take umet, alespon bych si usetril 5 minut prace =)
Soubor /etc/passwd mozna k SSH patri, k webhostingu ale nikoliv. -
Messa (neregistrovaný)Zhruba nejcennějším údajem v /etc/passwd na českém hostingu je nejspíš to, kolika klienty je daný server doopravdy sdílen narozdíl od hodnoty uváděné samotným webhosterem :-)
Ale teď vážně - že /etc/passwd je čitelný pro každého uživatele je v unixovém systému normální. Uživatelská jména lze odhadnout i bez tohoto souboru. Uživatel, který si nastaví prolomitelné heslo, je blbec. Jednou z věcí, kterou si podle mě platící uživatel hostingu zaslouží, je SSH přístup a čitelný /etc/passwd k tomu prostě patří. (Samozřejmě pokud na serveru není použita jiná metoda autentizace systémových uživatelů.) -
I soubor /etc/passwd obsahuje cenne informace. Dostanete se totiz diky nemu k seznamu uzivatelskych jmen a v pripade utoku na jine sluzby (SSH, FTP) se pak postaci zamerit pouze na prolomeni hesla, prihlasovaci jmena jiz hadat nemusite. To, ze tyto utoky neznate, neznamena, ze neexistuji, proto doporucuji mene kritizovat a vice premyslet.
-
Clanek nevysel jako glosa z toho duvodu, ze se jedna o uvodni dil trojdilneho serialu. Seznameni s teorii povazuji za vhodny zacatek, ne-li zcela nutny, ktery je beznou praxi. Prinejmensim lide, kteri sluzeb webhostingu pouze vyuzivaji aniz by se vsak sami vyznali v konfiguracnich direktivach, dokazi tento uvod zajiste ocenit. Zbyvajici 2 dily se jiz zabyvaji vyhradne konkretnimi direktivami a moduly, upozornuje na to posledni odstavec.
