1. Ссылки покупок

    [Валерий Морозов] - Секреты сторителлинга (2017)

    [Wordpress] Сборка WP-MFC +WP-MFC LINKATOR +WP-MFC GOOGLE (АКЦИОННЫЙ ПАК 2) 2017

    Узнавать больше, учиться меньше(Скот Янг) - Часть 3

    LPACK: создаём лендинги западного уровня при помощи шаблонов + как на этом заработать + 550 шаблонов

    Как заработать на youtube

    "Mувep" - модуль для ускopeния индeксaции сайтов

    Александр Корнилов (kote) : Тизерная кухня 2.0 - интенсив 2017

    Цифровые Ноотропы (Digital Energy Mandala)

    Первый курс по Telegram (2017)

    Продвижение в Инстаграмм (2017) Топовый автор.

    Facebook - подписчики десятками в день на ваши страницы

    SEO Марафон 2.0 по продвижению сайтов от WPNEW (2017)

    от 100$ в месяц на дорвеях Вконтакте

    Заработок на Алиекспресс и ВК

    Сайт по продаже покупке видеоигр

    Арбитраж трафика для тех, кто хочет результата! 2017

    Курс по личному продвижению в социальных сетях

    [WP] Обучающий видеокурс по Visual Composer

    [Дмитрий Воронов] Оформление групп и пабликов в соцсетях, каналов на ютубе.

    Две стратегии, субботний коучинг по баскетболу

    Две стратегии, субботний коучинг по волейболу

    Методика слива трафика. Арбитраж (Бурж и Ру)

    Трафик из ВК v.3

    Как создать и упаковать инфопродукт, который будет пользоваться спросом

    [Мультовод] - Заработок на мульти аккаунтах 2017

    Схема пассивного заработка на накрутке топовых партнерок

    Два скрипта для создания трафиковых сайтов на автомате

    Бинарные опционы. Стратегия (система) "СКВОЗНОЙ КАНАЛ"

    Instagram + буржунет. Тотальное палево фишек, софт и кейсы (видеокурс)

    Белая схема заработка. 8-10к в неделю не напрягаясь

    [РФ_Мир] Вывод 1 к 1: WebMoney, YandexMoney, Qiwi —> Безнал по Миру 0% Наличные рубли от 2%

    Два скрипта для создания трафиковых сайтов на автомате

    Тренинг "Профессиональная Настройка РСЯ"(2016)

    Зарабатывай на сайтах. Мануал по созданию cайтов на копипасте без блокировок (201

    Скрипт. Холодные звонки в BtoB с высокой конверсией [Авторская]

    Обучение дропшиппингу на Amazon – Ваш официальный бизнес за рубежом (2016)

    Видеотренинг CPA 2.0

    [Udemy.com] Alibaba - Ваш посредник в деле получения огромной прибыли (Новинка, 2016)

    Бизнес на налогах

    Стратегия "Звезда бинарных опционов" позволяет зарабатывать от 10 000 рублей ежедневно!

    [Courson] Холодные звонки. Как продать идею за 100 секунд?

    SalesHub - Мастер-группа: Запуск бизнеса на Amazon за 90 дней (2016)

    ОКтрафик - краткий курс по Одноклассникам для новичков и не только!

    Прибыльный VisitWeb (Юрий Минаев)

    Турбо-запуск товарного бизнеса за 1 день (Пакет GOLD, 2016) Осень

    Photoshop. магия внутри

    Тизерный трафик. Масштабирование с нуля до результата

    Гребём лопатой Adult трафик - белая схема заработка 50$ в день без вложений (2016)

    Клуб Миллионеров - Стратегия Триллион для форекс и бинарных опционов

    Способ продвижения в топ Youtube за 1 день (2016)

    Схемы заработка без вложений

    Wordpress помогатор 3.1

    Стратегия Ставок на Футбол от Густаво Доньжи

    Стратегия на турбо опционы

    Обучение по Бинарным Опционам.

    Бизнес по рецепту. продажа женских товаров

    Мануал по добыче бесплатного трафика с поисковика Bing (2016)

    От 6к уникальных посетителей на страницу ВК

    Facebook

    Стратегия Лайв Профит - ставки на футбол

    [Ирина Шмидт] - Церебро Таргет 2016

    Новый дорген.

    Стратегия на спорт.

    Двойной арбитражник по бесплатному трафику (2016)

    Подробная инструкция по Созданию интернет магазина чая с нуля (2016)

    Чертежи солнечного био-вегетария площадью 1200 кв.м. (СБВ-Профи)

    Адский стрим по копирайтингу: то чувство, когда подглядывать - хорошо!

    Видео-Курс - Tехнология быстрого старта в email рассылках (2016)

    Продвижение партнерских программ в одноклассниках (2016)

    Научу грести трафик. Только успевай сервера покупать!

    Трафик из ВК (Схема + Кейсы)

    Пассивный доход со стабильными выплатами.Схема добычи трафика.

    Секрет создания аккаунта яндекс директ без НДС

    Система ставок от проверенного каппера

    Государственный и банковский конфискат +VIP блок (2016)

    Как работать и зарабатывать деньги на продвижении своих проектов (2016)

    Секреты бесплатной рекламы от бывшего сотрудника Вконтакте

    Mobile Арбитраж - Арбитраж мобильного трафика (2016)

    BUSINESS MANUAL - Безопасные схемы заработка

    Как получать 1000-и заказов из CPA сетей (Дм.Ковпак)

    Как зарабатывать удаленно 100 тыс. руб на продвижении в Инстаграме без вложений и жить в Тайланде

    Самонаполняемые Видео-сайты!

    Прибыльная стратегия для бинарных опционов, первый доход через считанные дни + бонус!

    Траф с Вк за копейки

    Профит на онлайн теме от 30к до Неизвестно в месяц

    Легальный высокодоходный бизнес в реале

    Скрыть объявление
  2. Новое в Копилке

    Стратегия на виртуальный футбол

    Что ждать от арбитража.Для новичков

    КЕЙС: 120 800 руб. из тизерок без опыта в арбитраже на новой похудалке НЕЙРОСЛИМ

    Xelius Group(Павел Пахомов) - Опционы на миллион

    Стратегии ставок Холова на настольный теннис

    Ковалевский Антон - Прикосновение к своему Пути. Начало путешествия.

    12-ти недельный курс mba или лучшие стратегии роста и прорыва для бизнеса

    Кириллов. Гений жизни - Эффективное управление деньгами.

    [Олег Луканов] Ortega Project Insider. Харизма в соблазнении

    Smart Payment - Секреты Инфомаркетинга 2017

    [Шива] Об абсолютной необходимости любви к себе (2016)

    Еленин Сергей - Состояния в знакомствах (2015)

    19 УБОЙНЫХ ХАКОВ ДЛЯ LANDING PAGE

    Плагин ускорения для сайта WP Rocket v2.9.1.1 - на русском

    Черников - Видео для подписных

    Крючок. Как я зарабатываю по 79$ каждый день на автомате, просто раздавая книги (Ксения Шокина)

    Киселев - Новая система ставок

    [AST Production] Закрытое сердце

    Гейдж Дэвид - Партнерское соглашение: Как построить совместный бизнес на надежной основе

    Питер Скотт. Динамичная Торговля на Теннисе

    [Сухоруких] Анатомия СЕО - "SEO актив"

    Обучение составлению семантического ядра Key Collector (28 поток) [февраль 2017]

    Целевая Аудитория в Инстаграм

    Статьи с pokerstrategy по покеру

    [Биней, Udemy] Как создавать первоклассные рекламные объявления для Instagram

    Авторская стратегия (тоталы)

    Схема заработка 90 к за 2 месяца в Вк

    [Россоловски]-Программа снижения высокого артериального давления

    [Россоловски]-Программа подготовки организма к восстановлению во сне

    Виктор Орлов - Продактивити 2

    Тема Shopier. Последняя версия.

    Торговый робот FORTA Forex

    Анализ доходности ПАММ-счетов от Артема Звездина

    Анимированный экшен - Gif Animated

    Башкирова - Менеджер по продажам. Строим карьеру с нуля (2016)

    Сегментация как способ найти клиента - [profileschool]

Hivemind | Сказ о том, как обосрались Спрут и Гарри

  1. [Hivemind]Как мы знаем, сегодня Спрут запустил новый эксклюзивный топ с блекджеком и шлюхами, на этот раз на основе Google Adsense.

    Как настоящие веб-мастера и манимейкеры, писать код они не умеют, благодаря чему на сайте была обнаружена пачка уязвимостей, позволявших, в частности, выпиливать к херам пользователей, банить их, а также беспрепятственно вкапываться в базу данных и получать некоторые (не любые) данные из неё напрямую.

    Пункт первый и самый глупый, просто глупее не придумаешь. Я предварю его маленьким введением, просто чтобы можно было оценить масштаб глупости этой ошибки.

    Первое, что я сделал, забредя на сайт, это проверил реакцию на XSS-инъекции. Судя по борде, кто-то уже нашел их до меня и пнул Гарри исправлять, так что мне ничего не досталось. Потом я попробовал пару тонких, как мне показалось, мест на предмет SQL-инъекций. Получив пару 404 и 200, я успокоился и даже немного огорчился. Подумал даже, что все в порядке и я впустую трачу время.

    А потом я набрал в адресной строке http://topadsense.ru/admin и попал в админку.

    Ну вот просто так, взял и пошел, как вы в гугл заходите. Окей, когда первый шок немного прошел, я осмотрелся: в админке был поиск пользователей, простенькие фильтры вроде сортировки по дате регистрации и список этих самых пользователей. С кнопками "забанить" и "удалить". Клик - одной записью в БД меньше. То есть прямо вот так легко, нажал на ссылку, пользователь удалился. Таким образом мы плавно переходим ко второму пункту:

    Простые ссылки на удаление и бан пользователей. Вы помните, как работают поисковики? Я напомню: заходит поисковик в бар... и переходит по каждой встреченной ссылке, осуществляя индексацию контента. Заходим в http://topadsense.ru/robots.txt, и видим, что индексация админки не запрещена. То есть потенциальный сценарий таков: ресурс набирает N пользователей, они начинают общаться там, я не знаю, еще что-то, о сайте узнает поисковик, лезет его индексировать, и первым же заходом на каждую ссылку очищает таблицу users от всех до единой записей. Восхитительной красоты идиотизм :) Я даже не буду объяснять, как это нужно лечить (помимо закрытия админки от каждого любопытного), может это сподвигнет вас на какие-то собственные исследования.

    Ну и пункт третий, благодаря которому мне удалось узнать, какие в БД лежат таблички и какие в этих табличках колонки, это SQL-инъекция в админке. Надо сказать, что мои изыскания не позволили мне продвинуться дальше, поскольку пользователь БД у сайта явно не root и не обладает большими привилегиями (ну либо я плохо старался), и я так и не смог раскопать, как же называется база данных сайта. Уверен, что если бы мне удалось узнать хотя бы это, получение непосредственно записей из базы данных было бы простейшей задачей. Если бы это произошло, я смог бы получить список имейлов пользователей и соотнести их с их доходом. А потом уже все ограничено лишь вашей фантазией. Например, можно было бы заморочиться троллированием пользователей на предмет сдачи их налоговой (хоть им и было бы плевать, вероятнее всего). Придумайте сами, в общем.

    Тем не менее, я доволен тем, что получил - подтверждение неумелости Гарри (это и так общеизвестно) и Спрута (то же самое, но этот и не кичится своими программерскими умениями).

    Урок извлекайте из всего этого сами.
     

Поделиться этой страницей