Доброго времени суток!Хочу поделиться историей о человеке, выбравшем путь незаконного заработка в сети. Если найдется хоть кто-то, кто пожелает прочесть продолжение, буду выкладывать дальше. К критике отношусь адекватно, пожалуйста, не стесняйтесь.
«Блэк не был хакером из фильмов. Он не взламывал Пентагон, не сливал базы данных ФБР и не состоял на службе у секретного общества, правящего миром. Максим, так звали парня в реальной жизни, работал на кардеров.
Ему нравилось.»
Глава 1. Работа онлайн.
Блэк закрыл глаза. Сейчас же надо прийти в себя. Этот взлом планировался не один день.
На экране американский онлайн магазин, каких полно в Интернете. Единственное его преимущество заключалось в количестве пользователей. Тысячи долларов проходили через этот сайт ежедневно. Хакеру необходимо слить базу с номерами кредитных карт, чтобы потом продать ее кардерам.
Через открытое окно доносились крики молодежи, отмечающей 60летие со Дня Победы. Пьяные подростки громко ругались, отвлекая от работы.
Это безумно раздражало Блэка, который изо всех сил пытался сосредоточиться.
«Тоже мне элитный район для вашего спокойствия, — со злостью произнес парень, надевая наушники. — Идиоты».
Срочно взять себя в руки.
Напряжение росло. Сигареты. Блэк потянулся к пачке, затерявшейся среди кучи книг, лежавших на столе.
Парень нервничал, ведь ему пришлось потрудиться, чтобы найти зацепку. Защита была организована на высоком уровне. Как у любого денежного проекта того времени, сайт у них был самописным. Но, несмотря на внушительные масштабы и огромное количество кода, и как следствие большую возможность допустить ошибку, найти уязвимость не удавалось.
Хотя, как знает любой хакер: «Идеально защищенных систем не бывает, вопрос только в затраченном времени».
И теперь, когда обычные жители России отмечали праздник, Блэк сидел в темной прокуренной комнате, напряженно думая.
Он решил больше не тратить время на войну с сайтом магазина и пойти другим путем.
Через неграмотно настроенный DNS определил, что на том же сервере хостится онлайн дневник некоего John D. Morgan. Почитав записи в блоге и найдя его профиль на LinkedIn, Блэк понял, что это — один из админов магазина. Для своего блога тот использовал бесплатный новостной движок. Зайдя на сайт производителя, Блэк скачал такой же и, установив на локалхосте, стал проверять.
Обретя шанс смотреть код, хакер мигом нашел уязвимость — PHP-include баг, дающий возможность получения веб-шелла.
«Это уже неплохо», — обрадовался Блэк.
Но поскольку веб-шелл выполнялся с правами пользователя www-data, он позволял лишь просматривать некоторые файлы. Блэк стал изучать директории и вскоре нашел конфиг файл скриптов, в котором был записан пароль пользователя john для доступа к базе MySQL от его блога.
Пробовать эти данные к другим сервисам, казалось нелепостью, ведь, у администраторов они везде должны быть разными. Но, несмотря на всю бредовость, это была очень распространенная ошибка. Блэк прикинул, что стоит рискнуть и законектиться с этими логином и паролем к ssh.
Получилось.
«Ха, — ликовал взломщик, — Они тратят уйму денег и времени на первоклассный код и защиту, и при этом ленятся придумать разные пароли. Пока админить серверы будут такие болваны, проблем с работой у хакеров точно не будет».
На улице загромыхал салют.
Блэк вздрогнул.
Парень сделал музыку громче и ввел команду «uname –a», чтобы определить версию операционной системы. Это был линукс, в ядре которого не так давно обнаружили уязвимость.
Время шло, поэтому Блэк мигом открыл сайт, где была выложена рабочая версия эксплоита, скачал и вбил команду, чтобы залить его на сервер магазина.
Он склонился вплотную к клавиатуре, как вдруг всплыло окно аськи.
«SweetKitten18(22:03:25 09/05/2005):
Привет, котик»
«О нет! Ну почему именно сейчас?!» — вскрикнул Блэк.
Опять забыл вырубить аську.
Резко закрыл окно с сообщением и стал печатать.
Он запустил компиляцию сплоита.
$gcc -O2 -fomit-frame-pointer elflbl_v108.c -o elflbl_v108
Пришло новое сообщение.
«SweetKitten18(22:03:46 09/05/2005):
Ау»
Еще одно.
«SweetKitten18(22:03:58 09/05/2005):
Чего не отвечаешь? Ты ведь тут. Ответь или я обижусь»
Новые окна продолжали всплывать, мигая оранжевым цветом. Разгоряченный азартом, он упорно нажимал на крестик, не соображая, что надо отключить icq.
Блэк выставил права на запуск.
$ chmod +x elflbl_v108
«SweetKitten18(22:04:35 09/05/2005):
аааууууу ты где????»
Запустил сплоит.
$ ./elflbl_v108
Заработало!
Вбил команду who и увидел, что админ сейчас онлайн, а значит, он в любой момент может спохватиться и отключить злоумышленника.
«Медлить нельзя» — пронеслось в голове.
«SweetKitten18(22:06:03 09/05/2005):
аааууууу ты где????»
«Ну, неужели раз я молчу, нельзя догадаться, что я занят?» — закричал в монитор Блэк, набирая ответ.
«Black(22:06:41 09/05/2005):
Солнце, мне некогда. Я работаю»
Тут же пришло новое сообщение.
«SweetKitten18(22:06:59 09/05/2005):
Вечно тебе некогда. Работа может и подождать»
«Black(22:07:07 09/05/2005):
Не может, поговорим после»
«SweetKitten18(22:07:15 09/05/2005):
Ну… Сегодня же день рождения у Насти. Поедешь?»
«SweetKitten18(22:07:23 09/05/2005):
Ауу»
«SweetKitten18(22:07:30 09/05/2005):
Ответь»
Скорость печати девушки поражала.
«Black(22:07:41 09/05/2005):
МНЕ НЕКОГДА! ПОТОМ ПОГОВОРИМ»
Отправил и выключил аську.
При этом парень так стучал по клавиатуре, что некоторые кнопки стали западать.
Блэк на мгновение зажмурился, соображая, что делать дальше. Медленно вдохнул и выдохнул, после чего допил одним глотком холодный чай, стоявший еще с утра.
Он набрал команду:
$cat /usr/local/apache/conf/httpd.conf
Затем нашел путь к веб папке магазина, в которой обнаружил конфиг с паролем к базе, где находится информация о тысячах кредитных карт. Остается только скачать.
Парень собрался использовать mysqldump, как вдруг его ssh соединение разорвалось. При повторной попытке подключиться, пароль не подошел. Он попробовал зайти на веб-шелл, но аккаунт уже заблокировали.
«Только не это!» — ударил Блэк по столу, задев локтем чашку, от чего та перевернулась и упала на пол.
Ну вот и все. Снова от хакера уплыли желанные деньги.
В этот момент он проклинал навязчивую собеседницу из аськи — почему надо обязательно написать в самый неподходящий момент. И что за ужасная привычка — любой ценой добиваться ответа.
«Хотя сам виноват, — продолжал злиться Блэк. — Давно пора привыкнуть отключать все, когда работаю».
Последнее время все шло не так. Если бы парень был суеверным, то решил бы, что его сглазили.
***
Блэк не был хакером из фильмов. Он не взламывал Пентагон, не сливал базы данных ФБР и не состоял на службе у секретного общества, правящего миром. Максим, так звали парня в реальной жизни, работал на кардеров.
Ему нравилось.
Он вырос в семье, где постоянно не хватало денег. Отец, который был не в состоянии обеспечить семью. Мать, считавшая мужа неудачником. Его родители – люди с инженерным образованием — оказались неспособны подстроиться под изменившийся в девяностые годы мир. Интеллигентные, прилежно работающие, они перебивались от зарплаты до зарплаты, отдавая все лучшее своему единственному сыну.
И хотя Блэк был поздним ребенком, несмотря на общепринятое мнение о таких детях, эгоистом назвать его никто бы не решился, по крайней мере, из родственников, точно.
Теперь, когда у 20летнего юноши было достаточно средств, чтобы жить в красивой квартире в хорошем районе, купить машину и ездить отдыхать, он взял на себя обязанность поддерживать материально родителей, будучи уверен в том, что это его долг.
Конечно, приходилось скрывать свое истинное занятие. Говорил, что занимается программированием, пишет для иностранных заказчиков, что отчасти было правдой. Сначала родители беспокоились, мама с регулярностью где-то раз в месяц заводила примерно такой разговор.
— А как же диплом? Максим, что ты думаешь о своем будущем? Куда ты устроишься без образования?
— Мам, все в порядке. Я уже не ребенок.
— Но я все-таки не понимаю, как же так… Ведь везде при устройстве на работу требуется высшее образование. Чтобы найти хорошее место, чтобы как-то состояться…
— Да, а что такого? – не выдерживал после нескольких минут Блэк, – у вас с отцом есть образование, и что сильно оно вам помогло? Очень пригодилось?
— Максим, пожалуйста, я просто за тебя переживаю…
— Мам, не переживай. На крайняк, если припрет, куплю диплом, не проблема вообще.
На этом обычно и заканчивался разговор. Хотя последнее время поднималась такая беседа все реже, похоже, родители стали успокаиваться, видя финансовые успехи сына. Блэк даже заметил, что мама стала все чаще с гордостью рассказывать о его достижениях любопытным родственникам. И если несколько лет назад на вопрос «как там твой Максим, чем занимается?», она робко отвечала «нормально… за компьютером что-то изучает…», то теперь радостно принималась говорить о том, какой он трудоголик.
В такие моменты, если Блэк это слышал, ему становилось безумно стыдно, но вместе с тем — где-то в глубине души, в самом потайном ее уголке — очень приятно. Ведь успех не свалился с неба, а был результатом упорного труда и многих часов, проведенных за компьютером. Пока одноклассники гуляли во дворах, снимали девчонок и пропивали родительские зарплаты, он сидел дома и увлеченно работал.
Блэк поднял кружку с пола и поставил обратно на стол.
Поскольку ловить уже было нечего, а настроение стало хуже среднего, парень решил лечь спать и, не раздеваясь, упал на кровать.
Он почувствовал, что устал от компьютера. Так тоже бывает, когда пересидишь перед монитором, когда слишком много общения, и все достали. За что он любил мир интернета, так это за то, что когда тебя все там достало, ты просто отключаешь сеть и можешь на время забыться. Можешь и навсегда.
Но Блэк хорошо знал на личном опыте, что какие бы стрессы ни случались, как бы тебе ни хотелось бросить все, что у тебя есть в интернете, покинуть этот мир навсегда, однажды уже попав в его сети, — невозможно. Ты всегда возвращаешься туда, разница только во времени, проведенном не онлайн.
«Мне нужен отдых», — подумал Блэк перед сном и закрыл глаза.
Шум на улице стал стихать.
***
Парень бежал по длинному коридору с огромным количеством однотипных дверей. Ему надо успеть спрятать жесткий диск, пока люди из органов не догнали хакера. Двигаться было тяжело, казалось, ноги не работают, и он то ли парит в воздухе, как беспомощная птица, то ли плывет под водой против течения.
Что же это такое? Почему тело отказывается подчиняться? Ведь необходимо торопиться, если его поймают, то все кончено, арест, тюрьма, никто уже не сможет помочь. Эмоции зашкаливали, он остро понимал, что надо делать, но никак не мог заставить себя двигаться быстрее — все происходило будто в старом черно-белом кино на замедленном проигрывании. Подождите. Кино.
Блэк проснулся от телефонного звонка. Это был Ред, его близкий приятель. 2:30 ночи. Внутри все сжалось. «Что-то случилось», — сразу понял Блэк. В теле еще было ощущение ваты после сна, но мысли прояснились. Он встал с кровати и подошел к компьютеру.
Парень задумался — стоит ли брать трубку. Вдруг, Реда поймали, и это какая-то хитроумная подстава.
«В любом случае, там мой номер. Надо ответить».
— Да, — как можно грубее сказал Блэк, успев за эти секунды в голове перебрать несколько вариантов развития событий, заканчивающихся явно не в его пользу.
— Блэкки, дружище, чувак, как я рад тебя слышать… — послышалось из телефона.
— Ред. Чтоб тебя! Ты что опять обдолбался? — крикнул он громче, чем собирался.
— Эй-эй, ну почему сразу обдолбался? – изобразив обиженный голос, растянуто произнес собеседник. – Я звоню, чтобы поделиться с тобой… Блэк, мне надо сказать тебе важную вещь… Эй, ты меня слышишь?
— Слышу я тебя, говори.
Блэк успокоился, в голове еще крутились остатки сна смешавшиеся с переживаниями от ночного звонка, но он уже окончательно проснулся. Парень направился в сторону кухни, чтобы сделать чай или кофе.
— Так вот, я тут думал и понял… — продолжал его друг, — размышлял о жизни, понимаешь. О вселенной, мироздании, о нашем существовании…
— Тааак, — протянул Блэк, — и ты мне сейчас утверждаешь, что ты трезвый. Ты, кстати, где? Что за музыка?
— На дне рождении у… о… не помню, как ее, ну подруга твоей Иры. Зря ты не пошел.
— А. Настя, — сообразил Блэк, — да я устал. Не до этого.
— Ну я так и понял, что от Иры устал…
Блэк включил чайник и кинул пакетик в кружку, не ответив на замечание Реда.
— Так ладно, ты меня сбил… Я думал и понял, почему интернет скоро захватит весь мир, всех людей… вообще всех. Блэк, ты только подумай. Мы – уже рабы, мы муравьи в этой хитроумной паутине из ip адресов…
— О, понеслось, я пожалуй, кладу трубку.
— Нет-нет, подожди… послушай. Одну минуту. Я должен это сказать, иначе завтра забуду. Пожалуйста, стой. Ты тут?
— Да тут я, я тут, говори уже, — начинал злиться Блэк. Он случайно обжег руку кипятком.
— Да. Хорошо. Так вот. Вся моя жизнь… и твоя жизнь сосредоточена в Сети. Согласись, нам не сильно интересен тот мир за окном… Нет, ну он, конечно, интересен, но не так. Там где обитаем мы все по-другому… Ты только подумай, стать успешным здесь может, кто угодно. Неважно, кто твои родители, твой статус, твой пол, даже цвет волос. Будь ты хоть лысым стариком… И смотри, все эти условности, все это не имеет значения. Диплом, шмотки, марка автомобиля. Все это неважно, если ты глупый, как пробка… Не помогут тебе все эти прибамбасы, если с айкью проблемы, понимаешь?
Блэк сделал глоток чая. Он смотрел на улицу, слушая сбивчивую речь друга. Под окном ярко светил фонарь. Из припарковавшегося джипа вылез толстый мужчина, шатаясь подошел к багажнику и достал огромный букет цветов.
Хакер усмехнулся, ему стало противно и одновременно жалко бедолагу. «Пытается, наверно, выпросить прощения у какой-то стервы», — решил парень.
— Ты только подумай… — продолжал Ред, — Тут правит тот, кто знает. Навыки, умения, опыт. Ты тот, кем сам себя сделал, а не тот, кем тебя делает общество и родители. Этот мир — наш дом, учитель, работа, мы живем в Интернете. Только люди, переболевшие Интернетом, смогут понять нас…
— Ты хотел сказать только люди, употребившие тоже, что и ты, — резко заметил Блэк.
— Да ладно тебе… разве ты не согласен? — с неожиданным раздражением спросил Ред.
— Ага, — лишь пробурчал Блэк в ответ.
Парень держал телефон, прижав его плечом к уху. Он прошел в комнату и принялся расчищать место на столе, чтобы поставить чашку и тарелку с бутербродами, которые нашел в холодильнике. Блэк продолжал слушать Реда, не решаясь попрощаться, потому что чувствовал себя виноватым перед ним за то, что так отдалился от друга в последнее время.
— Так вот! Вот оно! Самое главное. Ты только подумай…Сеть. Она, она захватывает, заглатывает тебя без остатка. Для человека, увлеченного компьютером, реальный мир существует лишь параллельно этому. В интернете ты можешь переживать чувства и эмоции ничуть не менее, а зачастую и гораздо более яркие, чем в жизни. Понимаешь… Сайты, форумы, разговоры на ирц канале, аська. Мы ссоримся, миримся, даже влюбляемся по интернету. Блэк! И все это по-настоящему! Это только со стороны непонятно. Кажется, что это — чувак сидит перед монитором и смеется, он же не здоров. Но нет-нет! Ребята, вы просто не понимаете. Не пройдя через это, нельзя понять, насколько силен этот мир, и почему он поглощает все больше людей…
Блэк, хоть и солидарный во многом с Редом, но сильно уставший после сегодняшнего фиаско с магазином, с трудом воспринимал речь приятеля. Он решил проверить почту. Внимание привлек заголовок письма.
«от самого близкого друга».
Блэк вчитался в содержание послания.
«дорогой, мой Блэки.
ты меня не знаешь. а я же давно наблюдаю за тобой и хочу сказать, отношусь, как к родному человеку, поэтому переживаю из-за твоих неудач. почему ты так облажался с тем магазином? надо было быстрей работать.
твой самый близкий друг, Mar.»
Блэк перечитал письмо несколько раз. Это было странно.
— Ред, давай завтра поговорим, мне сейчас некогда,— торопливо выпалил он и выключил телефон.
Теперь ему стало по-настоящему страшно, совсем не, как во сне.
Что за Mar? Откуда он знает про вчерашний взлом? Чья-то шутка? Но, чтобы так развлекаться, надо было выяснить, что делал Блэк вечером. Про тот магазин в курсе никто не был. Хотя, похоже, все-таки был.
Парень просидел, терзаемый переживаниями, несколько часов. Работать желания не было, и он пытался отвлечься, играя в Doom 3. Заснуть смог только под утро, когда на улице уже стали слышны звуки оживающего города и торопящихся на работу людей.
Комментарии (110)
Akela_wolf
26.07.2016 08:07+6Нравится, с удовольствием прочитаю продолжение. Единственное замечание — не раскрыта причина нервозности хакера. Что его гонит? Зачем такая спешка с магазином? Подобрал пароль, получил шелл, увидел админа онлайн — ОК, затаился, продолжил взлом через несколько часов, когда рабочий день закончится. Нет, вместо этого «полез на рожон» и… Хакер, по моему мнению, должен действовать спокойно и расчетливо, тем более что парень не новичок, который ломает свой первый сайт, а достаточно опытный взломщик.
PKav
26.07.2016 08:37Так а может это не блог, а HoneyPot был, специально для таких вот взломщиков.
Akela_wolf
26.07.2016 09:17+3Так тем более нужно было взять паузу. Если это honeypot — взлом через него не может быть успешен, поскольку все действия отслеживаются. А если нет — шансы на успех повышаются, потому что в нерабочее время взлом может быть замечен с меньшей вероятностью.
Кстати, еще создается впечатление что ему не хватило каких-то секунд, которые он потратил отвечая девушке. Но на самом деле, мало запустить mysqldump — нужно дождаться окончания дампа, потом этот дамп нужно еще успеть скачать (хотя, наверное, можно запустить дамп с одновременной передачей по ssh на машину взломщика). Дампить имеет смысл не всю базу (ибо много), а только таблицу(ы), содержащие номера кредитных карт — значит нужно потратить время на изучение структуры БД, выяснить где хранятся искомые номера. Так что проникнуть на сервер — это даже не полдела. И если хакера прижучили через несколько минут после проникновения — он скорее всего засветился перед какой-то из систем мониторинга (либо, действительно скушал honeypot). Так что его огорчение от неудачного взлома понятно, но сваливать всю вину на отвлекшую его девушку — нелогично. Я думаю, после того как эмоции схлынут — на спокойную голову хакер должен это осознать.PKav
26.07.2016 09:39В случае с HoneyPot взлом будет замечен в любое время — сразу же отсылается SMS админу, он заходит и всё блокирует. А дамп можно и в терминал вывалить, если SSH-клиент логгирует сессии локально. Передача, конечно, будет медленнее, но не придется анализировать таблицы в БД. В общем, посмотрим следующую часть рассказа.
Akela_wolf
26.07.2016 10:14Так я и не спорю:
Если это honeypot — взлом через него не может быть успешен, поскольку все действия отслеживаются. А если нет — шансы на успех повышаются, потому что в нерабочее время взлом может быть замечен с меньшей вероятностью.
Ogra
26.07.2016 11:48Дампить имеет смысл не всю базу (ибо много), а только таблицу(ы), содержащие номера кредитных карт — значит нужно потратить время на изучение структуры БД, выяснить где хранятся искомые номера.
Если база сравнительно небольшая, то может быть быстрее сделать дамп, сбросить его к себе и изучать.Akela_wolf
26.07.2016 11:53Крупный интернет магазин — и сравнительно небольшая база? У меня сейчас есть проект, там всего-то около миллиона заказов за все время жизни — дамп базы уже измеряется гигабайтами. Поэтому, нет, не проще. Плюс в 2005 году не было таких скоростей как сейчас. Сколько у него могло быть соединение с Интернет? 10 Мбит/с?
Ogra
26.07.2016 12:07+1В 2005 году магазин с миллионами заказов мог быть редкостью ;)
Сколько у него могло быть соединение с Интернет? 10 Мбит/с?
Не у него, а у его VDS на Багамских островах могло быть и 100Мбит запросто.Akela_wolf
26.07.2016 12:12Про VDS не упоминается. Хотя так-то да, ни один хакер свой реальный IP светить не станет. Принимается.
Alexeyslav
26.07.2016 09:41Админ наверняка появился не просто так, вероятно ему пришло уведомление о вторжении.
alisanerd
26.07.2016 10:33Спасибо за ценные и подробные замечания! Это все от нехватки опыта, постараюсь исправить. Хочется довести историю до ума.
2b3q
26.07.2016 11:48+1Отлично, почти на одном дыхании и
без единого разрыва
, хотя Akela_wolf прав, — к чему спешка.
alisanerd, попробуйте посмотреть «Mr. ROBOT», я конечно не намекаю плагиатить, но можно взять за основу и переработать по своему сам подход: не стандартный психопортрет ГГ, ведь нормальный человек не будет заниматься подобными делами, использование SET, советы технических консультантов, использование той же KALI, мб небольшие скриншоты местами, чтоб не plain txt.
Пасхалка в Mr Robot S02E01.
Полагаю, целевая аудитория, все-таки, ИТ-гики, раз вы приводете подробные примеры консольных команд и используете спец. термины.
Добавляйте больше терминов: пэйлоады, обфускаторы, интрудеры, спуферы, сниферы итп, реальные инструменты KALI-tools .
Продумайте вектор атаки, должно быть не плоско, а разннобразно, социальное инжинерия, трояны, общение с андеграундом, атаки на RF (синий зуб, NFC, RFID, etc RF, HackRF).
Добавтье в пролог описание цели текущей главы, например какая-то атака + бытовые проблемы ГГ.
По сути общая история, — это нить повестей о разных хаках где применятеся различные методики, он же ПРО и это его жизнь, она и будет состоять из череды хаков.
Каждую историю продумывайте с технической стороны, спрашивайте у гиков, так будет правдоподобнее и интереснее.
Посмотрите реальный пентест WorkFlow Пентест-лаборатория Pentestit — полное прохождение
alisanerd
26.07.2016 23:45Спасибо большое! Сериал недавно посмотрела, прохождение лаборатории прочитала, класс. Постараюсь применить советы.
2b3q
28.07.2016 15:02Почему ГГ стоит использовать KALI:
— чаще всего пентестеры используют именно её.
— Лучшие дистрибутивы для проведения тестирования на проникновение
— содержит в себе метасплойт от H.D. Moore, Burp Suite «Отрыжка люкс» спасибо гугл транслэйт (используют многие исследователи HackerOne) и прочие фреймворки, которые реально используются в современном пентесте
— повторюсь, ГГ из «Mr. ROBOT» использует эту ОС
— где-то в тексте можно добавить, для информации (любителям теософии, философии, мистики, мб даже эзотерики):
Кали — Богиня-мать, символ разрушения. Кали разрушает невежество, поддерживает мировой порядок, благословляет и освобождает тех, кто стремится познать Бога
Встречается в Индийских ведах и индуизме, см. определение в Вики Кали.
Может быть, создатели KALI Linux, что-то знали и не зря так её назвали =)
Вы же хотите, чтобы Ваш ГГ был в теме.
Единственная несостыковка, это 26 мая 2006 — Первый релиз. Non-beta version (1.0).
Раньше KALI назывался BackTrack
Вдохновения, терпения и Удачи! =)
p.s. а по поводу косяков и критики, это будет всегда, Вы в курсе.Это Вас будет только развивать.
Очень сложно без опыта в написании КП, с опрой на реальные тех.аспекты бахнуть что-то шедевральное с первого раза.
В итоге должно получится что-то Достойное.alisanerd
01.08.2016 00:35Спасибо! Очень на это надеюсь.
Мне понравилась идея насчет упоминания Kali linux и Кали. Хорошо, что в 2006г действие тоже будет происходить, так что можно вписать.
Victorius
26.07.2016 10:27А мне понравилось. Хотелось бы продолжения и чтобы части побольше были, а то только разогнался и вник в суть, конец главы.
Bams90
26.07.2016 10:28Данный текст вроде отредактированный этот, если не ошибаюсь.
pikabu.ru/story/zhizn_kardera_blyeka_avtor_nerd_1511169alisanerd
26.07.2016 10:40Так выглядел черновик истории, который я размещала много лет назад в интернете, не закончив. Видимо, кому-то он приглянулся. Но не советую это читать, там опечатка на опечатке, и я многое изменила.
Antas
26.07.2016 10:28Мнится мне, нужно определиться с целевой аудиторией. Люди, не знакомые со всеми техническими нюансами часть текста просто не поймут, а те, кто хорошо в этом разбирается, наверняка поржут с косяков.
alisanerd
26.07.2016 10:42Это на самом деле для меня большой вопрос. Сама думаю над этим. Буду благодарна, если расскажете о косяках.
evtrifonoff
26.07.2016 11:02Рекомендую прочитать «Полный ROOT» Александра Чубаряна. Тематика схожа с вашей, по сути эта книга — классика киберпанка.
Rhard
27.07.2016 15:41Начинал читать её ещё на форуме игры. Тогда книга особенно понравилась. Интересно читать о тех, кого ещё и в реале знаешь.)
alisanerd
01.08.2016 00:37Спасибо, да, помнится, читала ее сразу, как она вышла. Понравилась тогда. Пора видимо, освежить в памяти.
evtrifonoff
26.07.2016 10:59+1Устройте голосование в конце поста — сразу станет понятно стоит ли выкладывать продолжение.
ilyaplot
26.07.2016 11:00Слишком внезапный конец. Прошу больше внимания к деталям. Читал пару лет назад рассказы про «хакера». Даже практически поверил, что это реальный рассказ. Испортила всю картину ситуация, когда что-то происходило на заднем сидении audi r8. Его там нет :) Не допускайте подобных ошибок.
alisanerd
26.07.2016 23:50Да, невнимание к деталям — это беда авторов-любителей, вроде меня. Сейчас на редактирование и проверку всех косяков уходит больше времени, чем на само написание. Постараюсь. Хорошо, что можно выложить текст в паблик и получить замечания.
smskin
26.07.2016 11:25Хорошее начало. Тема хоть и распространена, но концовка заинтриговала.
Жду продолжения!
oldcastor
26.07.2016 11:25+2Знаком с темой взлома и безопасности на нулевом уровне и слегка в курсе происходящего в ОС и БД. Я бы почитал дальше, особенно с учетом комментов знающих людей.
Sta1ker19
26.07.2016 11:26Мне понравилось, почитал бы продолжение с удовольствием.
И нашёл ошибку вот:
«SweetKitten18(09.05 22:07:23):
Ауу»
«SweetKitten18(09.05 22:07:30):
Ответь»
Скорость печати девушки поражала.
«Black(09.05 00:31:41):
МНЕ НЕКОГДА! ПОТОМ ПОГОВОРИМ»
Полагаю, там уже 10 мая наступило после полуночи.alisanerd
26.07.2016 11:30Благодарю! Исправлено.
evtrifonoff
26.07.2016 11:35Ну и уж если придраться совсем к мелочам с стандартном timestamp icq выводится год. Вряд ли Блэк его специально настраивал.
Мелочь конечно, но с годом как-то правдоподобнее.Akela_wolf
26.07.2016 11:50Очевидно действие происходит в 2005 году (за окном 60-летие Победы). Насколько я помню, в то время ICQ-клиентов было: &RQ, Miranda, QIP… Для Миранды так вообще море плагинов и сборок, превращающих мессенджер черти во что. Почему бы у хакера не стоять одной из таких сборок (или используются собственноручно подобранные и настроенные плагины)? Так что — фифти-фифти, можно и с годом, можно и без.
alisanerd
26.07.2016 23:55Ого, вот уж неожиданное замечание! Спасибо, исправлю. Так даже лучше будет, а то я сомневалась, насколько заметен отсыл к 2005 году.
hd_keeper
26.07.2016 11:26Всё зло от баб!
ARD8S
26.07.2016 17:49"— Ну я так и понял, что от Иры устал… "
Может я и не прав, но после этой фразы и ближе к концу ч.1, мне пришла мысль, что тов. «Рэд» сейчас как раз с «Ира» и начинает разговор с «другом» так сказать «издалека».
Ну и дальше будет… «ну, ты понимаешь, тут такое дело...»
Ogra
26.07.2016 11:37Блэк прикинул, что стоит рискнуть и законектиться с этими логином и паролем к ssh.
Получилось то же самое, с теми же правами, что и веб-шелл. Не годится ;)
Пусть веб-шелл работает, как и положено, от www-data, но в папке с блогом лежит конфиг, в котором видны логин и пароль от бд. Вот по ним можно коннектиться через ssh.Akela_wolf
26.07.2016 11:57+1Так он так и поступил — взял логин и пароль от БД и пошел с ними по SSH.
Тогда Блэк нашел конфиг файл MySQL, в котором был записан пароль пользователя john для доступа к базе.
Пробовать этот пароль к другим сервисам, казалось нелепостью, ведь, у администраторов они везде должны быть разными. Но, несмотря на всю бредовость, это была очень распространенная ошибка. Блэк прикинул, что стоит рискнуть и законектиться с этими логином и паролем к ssh.
Но вообще — да. Ему шелл нужен был только чтобы скомпилировать и выполнить эксплоит, повышающий привилегии до рута. Теоретически ничего не мешало проделать это же самое и через веб-шелл.Ogra
26.07.2016 12:04Цепочка проникновения должна быть такой: web-shell и пользователь www-data -> ssh и пользователь john -> эскалация прав до рута. А сейчас есть шаг с ssh, который мало того, что не нужен, так он еще и палевный =)
Akela_wolf
26.07.2016 12:20У пользователя www-data нет прав на запись в домашнюю директорию пользователя, поэтому из под него эксплоит не скомпилируешь и не запустишь — логично. А выполнение бинарников из какой-нибудь общедоступной директории (наподобие /tmp) может быть заблокировано флагом noexec. Тогда действительно получается что, без доступа через ssh под каким-нибудь другим пользователем ничего существенного не сделать.
НО! Если у нас есть доступ под пользователем www-data, то у нас УЖЕ есть доступ на чтение к файлам интернет-магазина (так как, наиболее вероятно, что все сайты работают под пользователем www-data). Скачиваем исходники и продолжаем поиск уязвимости уже по ним. Хотя, вполне вероятно, эту возможность хакер мог и просмотреть, увлекшись возможностями, которые предоставлял доступ к шеллу.Ogra
26.07.2016 12:29Если у нас есть доступ под пользователем www-data, то у нас УЖЕ есть доступ на чтение к файлам интернет-магазина (так как, наиболее вероятно, что все сайты работают под пользователем www-data)
Раз уж описана «высококлассная защита», можно навернуть какого-нибудь другого пользователя или два Апача, каждый в своем chroot.
А лучше — два разных сервера. На одном блог, на другом магазин, а пароли одни и те же… ;)Akela_wolf
26.07.2016 12:54+1Два апача не смогут делить 80-ый порт, а nginx в качестве фронтенда еще не стал популярен (первый публичный релиз состоялся осенью 2004), так что вероятность встретить его на сервере крупного зарубежного магазина весной 2005-го близка к нулю. Остается отдельный пользователь для интернет-магазина, но это слегка нелогично.
Два разных сервера — это хорошо, но как тогда найти блог? Изначально-то он найден по совпадению IP с IP магазина. Давайте подумаем… Зная IP магазина можно пробить через whois что он принадлежит выделенной конкретной организации подсети (собственная AS? Почему бы и нет, если речь идет о серьезной корпорации). Просканить подсеть, увидеть на другом сервере открытый 80 порт, заинтересоваться им — далее по тексту.
Ogra
26.07.2016 13:00Два разных сервера — это хорошо, но как тогда найти блог?
Может быть технический вариант, как у вас, может быть социнженерный. Тот же LinkedIn насчитывал в 2004 году миллион пользователей.
Dum_spiro_spero
26.07.2016 12:07+2В хакерстве не разбираюсь, могу по литературной части кое-какие замечания сделать.
Сама тема интересная — ну и чувствуется дальше будет и взлет юного хакера с покупкой авто за миллион денег и беготня со стрельбой, и т.п…
Хочется больше деталей — причем детали должны быть оригинальны.
"… достал огромный букет цветов. Хакер усмехнулся, ему стало противно и одновременно жалко бедолагу. «Пытается, наверно, выпросить прощения у какой-то стервы»,
Это деталь, но… но упрощена — т.е. мысли хакера насчет выпрашивания прощения — очевидны и потому неинтересны, видимо в букете будет автомат или еще что-то — сразу предсказуемо. А если не будет — то еще хуже — деталь которая не имеет значения.
Посмотрите любой роман Рекса Стаута например — там много деталей и они удачно вписаны в общий сюжет.
Когда пишешь от третьего лица есть проблема назsвания персонажа. Слово «парень» — уж очень просторечно звучит для 21 века. И повторяется 16 раз.
Почему Блэк? Дело вроде в России? Видимо это ник — тогда хочется обоснования — откуда он взялся.
В хорошем произведении недопустимы фразы-клише — «Да, что-то удача явно отвернулась от меня», — подумал Блэк. Нынче это годится для юмористического рассказа — но не для серьезного, например если бы рассказ был юморным и Блэк лежал бы в багажнике авто с переломанными конечностями — такая фраза была бы очень кстати).
Эпизод с родителями — вполне очевиден, хотя логичен — надо как-то разнообразить.
Видимо у вас в голове есть некая сюжетная линия которая вам интересна — и есть связки между интересными сценами, а интересным должно быть всё. Иначе рассказ будет читаться по диагонали ради сюжета.
Успехов!
P.S.
У меня просто большой опыт общения с филологами, опыт литературных конкурсов, написания в соавторстве — поэтому не могу не поддержать автора дружеской критикой!
agpecam
26.07.2016 17:59> Посмотрите любой роман Рекса Стаута например — там много деталей и они удачно вписаны в общий сюжет.
Я бы не портил вкус юной леди мастерами салонного детектива. Читайте лучше Д. Хэммета:
«Занеся ногу на первую ступеньку скрипучей лестницы, ведущей к юристу, я
задержался, чтобы рассмотреть некий предмет.
В темном углу первого этажа он был еле виден. Это был ботинок. Он лежал
в таком положении, в каком пустые ботинки не лежат. Я снял ногу со ступеньки
и пошел к ботинку. Теперь повыше стала видна щиколотка и манжета черной
штанины.
Это подготовило меня к тому, что я обнаружил».
Такого рода детали…Dum_spiro_spero
27.07.2016 00:04О! Попробуем Хэммета, но все же думаю вы излишне строги к Стауту.
Первая фраза романа «Если бы смерть спала»
«Сказать, что мы с Вулфом совсем не разговаривали тем майским утром в понедельник, было бы неверно. Мы хорошо побеседовали с ним минувшей ночью.» По моему очень хорошо — правда это все же чуток юморное чтение.
А вот (ИМХО) отличная сцена из «Криптономикона» Стивенсона
«После того как рядовой Микульский открыл огонь из «виккерса», несколько бойцов подразделения 2702, не желая отставать, принялись постреливать по немцам из «томми», но выходило до того жалко, что они перебрались в канаву, закурили и стали смотреть, как «виккерс» методично убирает с дороги заграждение… Ему не сразу удалось подобрать нужный угол, но потом он методично удобрил пулями все поле, как человек, поливающий свой газон. Один из друзей даже прикинул на коленке, как долго Микульскому придется стрелять, чтобы достичь нужной плотности — скажем, пуля на квадратный фут.»
Тут я имею ввиду не детали, а скорее некоторую необычность сцены — т.е. пресловутую оригинальность.
Впрочем и эта сцена не лишена юмора.agpecam
27.07.2016 17:22Я должен был поставить смайлик) Не сомневаюсь, что каждый известный автор вполне владеет словом. Просто когда детектив стал широко доступен в нашей стране мы глотали его полками, без разбора. Сейчас в памяти почему-то осталось всего пара-тройка авторов, к произведениям которых иногда хочется вернуться. К тому же, эссэ Р. Чандлера «Простое искусство убийства», как и его книги, кажется навсегда отвратили меня от «салонного» детектива. Но это все личное, на вкус и цвет…
«Филип Марлоу, тридцати лет,
частный детектив с сомнительной репутацией, был арестован вчера вечером,
когда полз по штормовому водостоку на Юниверсити-Хейтс. Марлоу показал,
что нес рояль махарадже Кут-Берара. На вопрос, почему он носит шпоры,
Марлоу ответил, что доверие клиента для него свято. Марлоу задержан для
расследования. Начальник полиции Хорнсайд заявил, что пока больше ничего
сказать не может. На вопрос, был ли рояль настроен, Хорнсайд ответил, что
он тридцать пять секунд играл на нем „Вальс-минутку“ и пока может сказать
только, что там нет струн».
И все такое прочее))Dum_spiro_spero
29.07.2016 00:58Прочитал Чандлера — спасибо. Ну по моему он э… занудствует. Впрочем в эссе есть несколько хороших фраз. Про счета и про Эйнштейна очень понравилось.
agpecam
02.08.2016 18:57Знаете, я и сам перечитал, вот как же это сочно и правдиво: «Хеммет извлек убийство из венецианской вазы и вышвырнул его на улицу. Оно вовсе не обязано прозябать там до скончания века, но давно пора было предложить читательской аудитории нечто, не похожее на очередной пассаж из кодекса Эмилии Пост насчет того, как благовоспитанная дебютантка должна грызть куриное крылышко. С первых (и до последних) шагов своей писательской карьеры он писал о людях энергичных и агрессивных. Их не пугает изнаночная сторона жизни, они, собственно, только ее и привыкли видеть. Их не огорчает разгул насилия — они с ним старые знакомые.
Хемметт вернул убийство той категории людей, которые совершают его, имея на то причину, а не для того лишь, чтобы снабдить автора детектива трупом, и пользуются тем орудием убийства, которое окажется под рукой, а не дуэльным пистолетом ручной работы, ядом кураре или тропической рыбой. Он изобразил этих людей такими, какими они были в действительности, и наделил их живой речью, какая была им свойственна.»
alisanerd
27.07.2016 01:04Класс, мне очень понравилось! Теперь почитаю обязательно, может, заражусь немного талантом.
alisanerd
27.07.2016 00:58Спасибо большое! У меня как раз, к сожалению, такого опыта нет, поэтому очень важны подобные замечания. Стараюсь больше читать по теме, но живые отзывы куда полезнее. С «парнем» поработаю в первую очередь!
Dum_spiro_spero
29.07.2016 00:44А что именно читаете по теме?
Я пытался как-то найти книги по писательскому мастерству — единственное, что более-менее — «Как писать книги» Стивена Кинга. Остальное — включая «Как написать гениальный роман» Фрея — изобилуют слишком общими фразами и банальностями. Никитин написал книгу в духе, что если вы будете следовать его рекомендациям — то станете таким же хорошим и известным писателем — увы — на тот момент я не знал кто это.)))
В копилочку к «парню» "«Ха, — ликовал взломщик, —"…
в общем «взломщика» туда же куда и парня. ))) В этой фразе происходит некое отстранение автора от героя — сразу чувствуется искусственность. Надо либо использовать юмор, либо… не знаю — я не волшебник, я только учусь. ))) 1-го августа будут объявлены темы конкурса «Мини-проза». Приходите!
http://mini-proza.livejournal.com/645721.html#commentsalisanerd
01.08.2016 00:45Пока статьи и на ютубе видео. Их так много, что до поиска книг еще не дошла. Только недавно задумалась, что надо бы и поучиться.
CheeseMaster
26.07.2016 12:33Хакер уровня Блэка скорее всего купил бы отдельный ноутбук для взлома, на котором асечка с оффлайн друзьями не крутилась бы, нестыковочка.
Akela_wolf
26.07.2016 13:33При взломе иногда важна вычислительная мощь (брутфорс паролей, например), поэтому ноутбук тут не очень. Да и какой смысл именно в ноутбуке? 2005 год — wifi мало распространен, GPRS ужасно медленный… Мобильность ноутбука сводится на нет невозможностью подключиться к Интернет где угодно.
Raptor_C
26.07.2016 12:34Замечательный рассказ! С удовольствием прочитаю продолжение. Правда есть некий налёт попсы… или как-бы это сказать — шаблонности. И письмо от неизвестного друга тоже слишком уж банально. Кино )))
Но повторюсь, очень интересно и конечно хочется продолжения.2b3q
26.07.2016 13:40+1письмо от неизвестного друга тоже слишком уж банально.
Или так, ГГ получает доступ к некоторой системе и находит чужой бэкдор, реальный кейс: Как я взломал Facebook и обнаружил чужой бэкдор, + немного мистики, — записка/сообщение ГГ в бэкдоре или некотором файле. Опять же, отсылка к сериалу Mr. Robot.
ГГ читает сообщение и начинает собственно ресследование (поиск в maltego по никнейму и т.п.) Безрезультатно. Кто же этот хозяин бэкдора? Почему он оставил сообщение? Он пытается наладить контакт? И это втягивает ГГ в новую параллельную сюжетную линию.
Ну или ГГ находит чужой бэкдор и пытается протроянить хозяина бэкдора добавив закладку в бэкдор… Например, закладка в бэкдоре будет собирать информацию о его хозяине через keylogger и отсылать куда-то ГГ. Закладка может перенаправлять хозяина бэкдора куда-то через хосты ГГ. MITM и т.п., придумайте сами.
Короче война за сервер + детектив
Akela_wolf
26.07.2016 13:47Еще момент — фразу «играя в онлайн-игру» стоило бы заменить на указание конкретной игры. В 2005 году их было немного — Lineage 2, World of Warcraft — наиболее популярные, можно сказать мейнстрим. EVE Online — нишевая (кстати, почему бы хакеру и не увлекаться космическими корабликами).
Ну и необязательно онлайн-игру, вполне мог убить время и за старым добрым синглом, например в апреле 2005 вышло дополнение к Doom 3.evtrifonoff
26.07.2016 13:57+1Учитывая возраст ГГ я бы взял лучше Героев 3, как ностальгию/ WOW и L2 тут вряд ли подойдут, так как они затягивают, а ГГ:
Пока одноклассники гуляли во дворах, снимали девчонок и пропивали родительские зарплаты, он сидел дома и УВЛЕЧЕННО РАБОТАЛ
Ogra
26.07.2016 14:07WOW и L2 тут вряд ли подойдут, так как они затягивают
В то время там можно весьма прибыльно ботоводить. Если вспомнить, что многие боты были проплачены с украденных кредитных карт, то можно нарисовать хорошую историю персонажу. Начал играть, потом боты, потом форумы кардеров, и так далее.
afxwin
26.07.2016 13:54-1Простота взлома просто поражает, очень не похоже на дорогой магазин с большим объемом заказов, при этом про обеспечение анонимности самого взломщика абсолютно ничего нет, то есть по логам пробиваем IP и идем в полицию…
Akela_wolf
26.07.2016 14:15Почитайте описания взломов из журнала «Хакер» — удивительно, но многие «крутые» на вид сайты, включая сайты банков, были взломаны несложными методами, наподобие описанных в этом тексте. Так что верю.
ArchiTheCat
26.07.2016 13:54Рассказ безусловно видится интересным.
Хотя в первой части текста текстовые конструкции громоздкие, ИМХО.
Fen1kz
26.07.2016 14:09+2Не понравилось.
Во-первых, герой. ему 20 лет, у него машина, квартира, помогает родителям, он хакер, но! Он нервный как 40-летняя истеричная баба. То есть с одной стороны он системно улучшает жизнь, много трудится, общается с родителями, девушками и друзьями, с другой — истерит и орет по малейшему поводу. Что-то не сходится. Я уж молчу что он не труъ-хакер, а просто воришка. С социальной жизнью. Как он друзей и девушку завел-то, не выходя из дома, проживая в элитном комплексе?
Во-вторых, его друг. Мораль в рассказе, это хорошо, но когда она запрятана и ненавязчива. А уж выдавать Мысли и Мораль путем звонка обкуренного друга, это как-то совсем моветон
В-третьих, завязка как в матрице это вообще старье.
www0rm
26.07.2016 14:13-1Пишите еще! Читается хорошо. Аудитория тут тоже подходящая, поможем, подскажем.
strannik_volg
26.07.2016 16:46Понравилось, и судя по комментам многим, так что продолжайте! Будем ждать.
Ed1024
26.07.2016 18:17Очень круто, понравилось! Жду продолжения, история захватывает, на одном дыхании!
saboteur_kiev
26.07.2016 18:25«Хакеру необходимо слить базу с номерами кредитных карт, чтобы потом продать ее кардерам.»
Кардеры и помощь им — не красит ГГ никак, даже читать расхотелось. Но продолжил.
«Зашел на сайт производитель» — я
«Через неграмотно настроенный DNS сервис, определил, что на том же сервере»
Почему DNS должен быть неграмотно настроенным? DNS сервер не обязан быть поднят прямо на той же машине, что и сайт магазина, а выяснить что на том сервере висят еще какие-то сайты можно и другими способами, теоретически через любой DNS. Можно даже просто погуглить по IP.
«Как только он пробовал выйти за пределы его папки, получал раздражающую надпись «Permission denied».
Тогда Блэк нашел конфиг файл MySQL»
Нестыковка. Почему конфиг mysql лежит в домашнем каталоге пользователя?
В общем я постоянно спотыкался об такие моменты.
Я бы посоветовал тесно пообщаться с как-нибудь сисадмином, чтобы технические моменты выглядели более профессиональными. Если сложно описать достоверно, можно попробовать описывать нетехнически, чтобы этот эпизод можно было адекватно читать и сейчас и через 20 лет, когда все изменится.Akela_wolf
26.07.2016 19:20+1Нестыковка. Почему конфиг mysql лежит в домашнем каталоге пользователя?
Речь, как я понял, идет не о конфиге самого MySQL, а о конфиге блога, в котором содержится логин и пароль для соединения с БД.saboteur_kiev
27.07.2016 02:27Тогда это conf.php, а не mysql
Но что mysql конфиг или conf.php делает в домашней папке пользователя, а не например в /var/www?
ну и собственно если уже зашел в шелл, то /var/www может быть доступенAkela_wolf
27.07.2016 07:32А это зависит от конфигурации апача — document root конкретного сайта можно настроить как угодно. Вполне может быть, что для удобства управления сайтом, его разместили как раз в домашней директории (чтобы не возиться с правами на /var/www/{sitename}) пользователя, которому он принадлежит. Не забываем — это личный блог сисадмина, который, возможно, хостится на этом сервере, так сказать, неофицально.
saboteur_kiev
27.07.2016 19:30Такое — неправильно. И с точки зрения безопасности, и с точки зрения любого админа, которому доверили сервер с финансовыми потоками.
Но по рассказу не заметно, что это какое-то упущение админа. «Хакер» просто не смог выйти из домашней папки, поэтому просто открыл конфиг сервера. Ну делать было видимо больше нечего.
Нужно консультироваться с админами на тему не только, как это можно сделать, но и какие действия следует акцентировать.Akela_wolf
27.07.2016 20:25Хм… А можете подробнее рассказать почему или дать ссылку на материал по этой теме? Просто я (не претендую на звание гуру администрирования, разумеется) обычно на своих VDS так и делаю — сайт в папку www домашней директории пользователя. Как-то не задумывался что это может приводить к проблемам.
saboteur_kiev
28.07.2016 01:57+1Раньше была такая фича как hostname/~username и тогда у юзера в локальной папке public_html, но это было еще в доблоговое время, когда php только-только появлялся, и вебшеллов еще не было.
Но сейчас — Домашний каталог пользователя — его личные файлы и настройки, то, что должно быть owned by user.
Веб сервер, который запущен от имени отдельного юзера типа nginx или httpd_user, и который лезет в домашнюю папку вашего юзера — не есть хорошо.
/srv/www/domain_name
/var/www/domain_name
/data/www/domain_name
примерно такие варианты рекомендует https://en.wikipedia.org/wiki/Filesystem_Hierarchy_Standard
Кроме того, все сайты в одном подкаталоге — удобно для выделения раздела под веб сервер, назначения прав доступа, настройки бэкапов, миграции на другие машины — удобно, когда схожее хранится в одном месте.saboteur_kiev
28.07.2016 16:31+1Для хакера из рассказа можно бы сделать исключение в виде:
«Полазил по домашней папке пользователя и увидел что там есть ссылка типа $HOME/www, которая ведет на на /var/www/myblog, видимо админ для себя сделал. Зашел по ссылке, увидел простой бложик на php, нашел в нем конфиг, где логин и пароль для подключения к sql базе лежат в открытом виде.
Звучит уже как более-менее настроенный сервер, и вполне адекватную случайность админа.
Совпадение пароля от личной базы и пароля еще где-нибудь уже можно принимать за правду.
alisanerd
27.07.2016 01:52Спасибо! Исправила фразу. Поищу сисадмина. Выложила текст, как могу в надежде, что знающие, кто во время чтения заметит ошибки, напишут о них.
Akela_wolf
26.07.2016 19:38Продолжаю искать баги. На этот раз выцепил мелочевку.
$gcc -O2 -fomit-frame-pointer elflbl_v108.c -o elflbl_v108
Команда правильная, но включает опции оптимизации. Зачем оптимизировать эксплоит, тратя лишнее время чтобы вспомнить эти флаги и ввести их? Некритично, но снижает уровень достоверности.
Rhard
27.07.2016 01:38Очень режетут по глазам «папки», вместо директорий. Учитывая то, чем парень зарабатывать на жизнь — он явно не виндузятник, который к тому же ещё и какие-то крестики мышкой нажимает. Самый оптимальный вариант игрухи того времени — БК, в 2005м страсти вокруг ещё кипели, а парень мог на неё вообще в 2002м подсесть, тогда очень специфичная и интересная были тусовка. Вовка не подходит, очень много жрёт времени, полночи вайпаться в МС или на БГ зарабатывать звания, что бы шмот купить — это надо было в игре просто жить. В линейке думаю было примерно тоже самое.
Пы.Сы. Кто-то в каментах упомянул, что он мог начать с заработка в ВоВ, так там тогда реальных денег не крутилось. Самые безумные цены были на шмот в БК, вот где можно было неплохо подняться на читерских МФ-шмотках.Ogra
27.07.2016 04:52там тогда реальных денег не крутилось
Форум, 2005 год, люди обсуждают голдселлеров: http://www.eurogamer.net/forum/thread/26577
«Same old shit that ruins every MMORPG then. „
Боты в Lineage 2, тот же 2005 год: http://forums.goha.ru/archive/index.php?t-32921.htmlRhard
27.07.2016 15:39Реальные — это всмысле большие. Конечно в WoW в то время можно было даже много на чем заработать: боты, шмот, голда, шарды, но с БК даже близко не сравнить. Там хорошая шмотка равнялась цене нормального авто.
Ogra
27.07.2016 15:57Тем лучше! Так переход с ботоводства на кардерство выглядит логичнее — больше денег ;)
SisterTwitter
27.07.2016 08:43+1ИМХО, слишком банально, скучно и неинтересено. Местами было больно читать.
«Хакер» стереотипный: рассеяный и раздраженный невротик, курильщик, обрывает связи с друзьями в реальном мире, отсутсвие влечения к противоположному полу, трудное детство, отец-неудачник. Не удивлюсь, если он окажется худым и бледным, подсядет на алкоголь или наркоту. У ГГ нет конкретных целей в жизни. Какая его мотивация быть хакером? Почему бы не получить образование (и диплом, соответственно) юриста, например.
Блэк, Ред… Кто будет дальше: Уайт, Грин? «Загадочное» письмо.
Абсолютно лишние и уже так лично мне надоевшие бытовые штампы про сон (ватное тело), про чай/кофе («стоял еще с утра», «обжегся»).
Мой вариант. ГГ с нормальной обеспеченной семьи, отец для него идеал. ГГ не курит и ведет ЗОЖ, занимается спортом. Студент-отличник (но не заучка), умеренный перфекционист. Хакер со школы, сначала любитель. На момент повествования он уже профи. Об этом знает только его отец. У ГГ есть любящая девушка и хороший университетский друг, который окажется предателем. Как-то так…ArchiTheCat
27.07.2016 09:53Зачем ему быть хакером?
У него мотивации нет в вашем варианте.Akela_wolf
27.07.2016 10:07Мотивация может быть не только в деньгах.
1. Самоутверждается. «Хорошая защита, говорите? Ну-ну, давайте посмотрим поближе...»
2. Деньги. Того что выделяют обеспеченные родители хватает на нормальную жизнь, но не на роскошь. А молодому человеку хочется большего… Можно добавить какую-нибудь пагубную страсть — например азартные игры. Также это может привести к большим проблемам (крупно проигрался) и теперь приходится идти на риск, чтобы получить крупную сумму денег к определенному сроку.
3. Отец знает? Но он может знать не все. Например, он может полагать что сын получает деньги за тестирование безопасности и нахождение уязвимостей («белый» хакер), а про «черную» сторону его жизни (связи с кардерами и прочее) может быть не в курсе. Отца, кстати, в таком варианте логично сделать сотрудником какого-нибудь НИИ, программистом «старой закалки», который помнит еще БЭСМ-6 и ЕС. У него главный герой и научился программированию и нестандартным подходам.ArchiTheCat
27.07.2016 11:37Ну… возможно.
Тогда нужно слегка раскрывать эту мотивацию. Потому что как сразу возникает вопрос — зачем это ему, если у него и так есть деньги.
gavriil
27.07.2016 13:42Азартные игры — а это ли не стереотип?
Вроде завернули интересно, из богатой семью, всё есть, ляляля, три рубля, а как в мотивацию ушли — так вылезло другое клише :)Akela_wolf
27.07.2016 13:57+1Ну во-первых, изначальная идея не моя, а SisterTwitter, я просто попытался дополнить обрисованный образ. С другой стороны — а что будет не клише? Нельзя быть оригинальным во всем, к сожалению.
gavriil
27.07.2016 14:29+1Это я не с точки зрения, обвинить, я как раз с той точки зрения, что куда не плюнь — будет клише.
lamoss
27.07.2016 10:39Спасибо, интересно, но на правах занудства — еще одно замечание по поводу «слить базу с номерами кредитных карт»
К счастью (а для Блэка — к сожалению) платежные системы запрещают магазинам сохранять данные карт, а нарушение быстро раскрывается и магазин остается без онлайн-оплаты. Так что сохранение карт в базе магазина — нонсенс и таких уж наверняка не тысячиAkela_wolf
27.07.2016 10:50PCI DSS появился только в декабре 2004, а действие происходит в мае 2005. Обязательным он стал с середины 2005. Так что, теоретически, возможно. Но даже сейчас, я плачу кредиткой за онлайн-игру. С нее ежемесячно списывается абонентская плата — как такое возможно, если номер карты и прочие данные не сохранен в БД «магазина»?
lamoss
27.07.2016 15:05+1В момент оплаты реквизиты сохраняет шлюз и в этот же момент шлюз видит что это будет регулярный платеж, а магазину выдается только токен действительный для этой операции
Rhard
28.07.2016 01:31Тоже хочу предложить вариант сюжета. Если отбросить этих кардеров, которым банально сливал базы, то как вариант — парень занимается тестированием безопастности компаний. При выполнении очередного заказа ему удалось получить доступ к информаниции до которой, как считали никто не доберётся, а с этого уже и сюжет крутить.
shadow38
28.07.2016 14:35Интересно.
/раскаяние/я больше никогда не буду читать за рулем, в дождь, на мотоцикле/ раскаяние/
thunder367
28.07.2016 23:56Ждем продолжения! Тем временем «запоем» прочитал «Полный ROOT», понравилось.
openkazan
Где то я подобное уже слышал/видел
Беда со сценаристами в нынешнее время…
webhamster
Касаемо этой главы, сообщения должны выглядеть так:
Neo…
Wake up, Neo.
You obosralsa…