[ Поиск ] - [ Пользователи ] - [ Календарь ]
Полная Версия: Продажа дыр на сайтах
Soldier Ghost
Вопрос собственно такой наткнулся на сайт достаточно серьёзной компании и нашёл у них дыру через которую можно спокойно выдернуть логин и пароль администратора SQL-инъекцией, что я собственно и сделал laugh.gif
Можно ли им за вознаграждение показать эти дыры не будет ли это расцениваться как шантаж?



Спустя 15 минут, 1 секунда (8.03.2010 - 22:25) KaFw написал(а):
Как шантаж нет, но данную информацию у тебя не купят.

Спустя 15 минут, 20 секунд (8.03.2010 - 22:40) sergeiss написал(а):
Попробуй smile.gif Но, скорее всего, при поступлении информации об SQL-инъекции они просто скорректируют код. И тебе не заплатят нифига smile.gif

Спустя 1 минута, 5 секунд (8.03.2010 - 22:41) twin написал(а):
Хакерское движение как раз с этого ничиналось. Талантливые программисты искали дыры в разном ПО и показывали их авторам. Безвозмездно. Потом кто то решил, что это хороший бизнесс. И теперь слово хакер почти ругательное, хотя начиналось все очень даже благопристойно.

Предложи свои услуги по оптимизации, может быть не только спасибо скажут. smile.gif

Спустя 1 минута, 50 секунд (8.03.2010 - 22:43) sergeiss написал(а):
Цитата (twin @ 8.03.2010 - 23:41)
Предложи свои услуги по оптимизации...

Кстати, да. Тоже неплохой вариант.

Спустя 1 минута, 43 секунды (8.03.2010 - 22:45) Soldier Ghost написал(а):
Цитата (sergeiss @ 8.03.2010 - 19:40)
Попробуй smile.gif Но, скорее всего, при поступлении информации об SQL-инъекции они просто скорректируют код. И тебе не заплатят нифига smile.gif

Я им не буду говорить что там за дыра ), я же ещё не совсем дурак )

Спасибо всем пойду связываться rolleyes.gif

Спустя 41 минута, 26 секунд (8.03.2010 - 23:26) waldicom написал(а):
Захотят - посадят... Ибо если достаточно серьезная компания, значит есть юристы, а посему могут в суд подать, за вымогательство

Спустя 12 минут, 46 секунд (8.03.2010 - 23:39) glock18 написал(а):
да-да, подумай хорошенько. waldicom прав, на мой взгляд.

Спустя 12 минут, 42 секунды (8.03.2010 - 23:52) Nikitian написал(а):
Цитата (Soldier Ghost @ 8.03.2010 - 19:10)
Можно ли им за вознаграждение показать эти дыры не будет ли это расцениваться как шантаж?

Будет как вымогательство. Даже более того, вы нарушаете правила использования ЭВМ,а это подсудное дело wink.gif

Спустя 14 минут, 38 секунд (9.03.2010 - 00:06) sergeiss написал(а):
Цитата (waldicom @ 9.03.2010 - 00:26)
Ибо если достаточно серьезная компания, значит есть юристы, а посему могут в суд подать, за вымогательство

Вряд ли. Если он будет угрожать, что что-то плохое сделает, потому что нашел у них дыру - то да, это будет вымогательство. А если человек говорит, что в сайте есть дыра, и он предлагает ее за деньги вылечить (но при этом он сам не планирует ничего плохого делать), то это не будет вымогательством.

Википедия:
---
Вымогательство - требование передачи чужого имущества или права на имущество или совершения других действий имущественного характера под угрозой применения насилия либо уничтожения или повреждения чужого имущества, а равно под угрозой распространения сведений, позорящих потерпевшего или его близких, либо иных сведений, которые могут причинить существенный вред правам или законным интересам потерпевшего или его близких.
---

"Лечение" сайта не входит в вымогательство по определению smile.gif

Спустя 18 минут, 42 секунды (9.03.2010 - 00:25) waldicom написал(а):
Цитата (sergeiss @ 8.03.2010 - 23:06)
А если человек говорит, что в сайте есть дыра, и он предлагает ее за деньги вылечить (но при этом он сам не планирует ничего плохого делать), то это не будет вымогательством.

При всем моем уважение, это не так.

Спустя 8 часов, 21 минута, 49 секунд (9.03.2010 - 08:47) Семён написал(а):
Что за бред несут некоторые? Жучков насмотрелись? (сериал такой раньше был)
Представляете Вы идёте по дороге, к вам подходит человек и говорит я вижу у тебя проблемы с сердцем могу излечить силой мысли, вы либо верите и обращаетесь к его услугам, либо просите пойти к чертям собачьим, вы же не пойдёте писать заявление о вымогательстве? Когда-то у меня была такая практика, но ничем хорошим не заканчивалась, иностранцы не хотели платить деньги, даже при явном дефейсе крупных проектов.

Спустя 26 минут, 9 секунд (9.03.2010 - 09:13) twin написал(а):
Вообще он нарушил закон.

Свернутый текст
За тообой уже едут mad.gif

Дело не в том, нанес он ущерб или планировал получить выгоду (шантаж), а в том, что он проник на чужую территорию. Если допустим мой сосед забыл закрыть квартиру, а я зашел туда и был пойман, не важно, что я не хотел и не успел ничего украсть. Важен сам факт незаконного проникновения. Тут действует тот же принцип. Так что одно - указать на возможность атаки, другое - проникновение и завладение приватной информацией. И не суть, что она не была использована во вред. Для суда важен факт.

Так что не известно, кто с кого получит. biggrin.gif

Спустя 14 минут, 7 секунд (9.03.2010 - 09:27) sergeiss написал(а):
twin - не согласен! Он увидел, что у соседа открыта дверь, и даже приоткрыл ее smile.gif Увидел, что у него там около двери творится. И пошел искать соседа.

waldicom - аргументы? Чтобы действие было вымогательством, надо главное: чтобы было требование что-то сделать, под угрозой чего-то... Тут же ситуация другая заявлена. "Я вижу у вас проблему и могу помочь". Где тут угроза, требование? Не хотят платить бабки? Ну и хрен с ними, пусть живут с проблемой, она у них была и будет, если ее не устранить.

Семён привел очень хороший пример.

А то договоримся до того, что вообще никому нельзя будет указать на проблемы wink.gif. Пришел человек на форум, спросил о том, как решить проблему, ему ответили, а он:
1. Обвинил в вымогательстве, мол, "они увидели у меня проблему! Они могут воспользоваться ею в корыстных целях!!!"
2. Обвинил в нанесении морального ущерба, "они сказали, что я плохо знаю ПХП и отправили читать мануал!!!"
3. Ну и так далее...

Спустя 36 минут, 33 секунды (9.03.2010 - 10:04) twin написал(а):
Цитата
Он увидел, что у соседа открыта дверь, и даже приоткрыл ее  Увидел, что у него там около двери творится. И пошел искать соседа.

Он не приоткрыл. Он зашел. И мало того, вынес оттуда имущество - аунтификационные данные. Не важно, что он не нанес вреда, важен сам факт.
Если до этого небыло предварительной договоренности, это считается незаконным
Статья 272 УК РФ (наверняка на Украине тоже есть). Неправомерный доступ к компьютерной информации
Свернутый текст
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, -

наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.

2. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, -

наказывается штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.

На счет ущерба - тоже вопрос спорный. Допустим администратор сайта по логам определил несанкционированное проникновение. И нанял службу, что бы они вычислили хакера. Непредвиденные затраты можно вполне расценить как прямой ущерб - не было бы несанкционированных действий, не было бы расходов.

Или допустим они, узнав про взлом, остановили работу сайта до выяснения обстоятельств. Тогда вообще труба дело. Прямой ущерб плюс недополученная прибыль.

Спустя 3 минуты, 42 секунды (9.03.2010 - 10:07) DedMorozzz написал(а):
А что мешает сообщить об этой дырке, не упоминая про копирование информации. Выходит, по закону, можно легально ломать защиту! При этом ничего не копипастя и не внося изменения. Что собсно и было сделано

Спустя 2 минуты, 20 секунд (9.03.2010 - 10:10) twin написал(а):
Я про сам факт. Я же сказал - по идее он нарушил закон. И тут все зависит от настроения хозяина сайта и грамотности юристов. Смогут они доказать ущерб - посадят за милу душу.

Спустя 51 минута, 7 секунд (9.03.2010 - 11:01) UnWind написал(а):
Я тоже один раз так попробовал сделать, посчитали за вымогательство. Хорошо что контакты мои фальшивые были. smile.gif Ну хотя люди разные бывают.

Спустя 10 минут, 26 секунд (9.03.2010 - 11:11) twin написал(а):
Чёт он пропал... Не сгребли ли уже, тьфу, тьфу. blink.gif

Спустя 8 минут, 34 секунды (9.03.2010 - 11:20) waldicom написал(а):
Цитата (Семён @ 9.03.2010 - 07:47)
Что за бред несут некоторые?...
....

Семён, тебя родители не учили следить за языком? Твин все описал правильно, а твой пример с ситуацией не имеет ничего общего, потому что там произошел взлом, а у тебя что?

Спустя 19 минут, 35 секунд (9.03.2010 - 11:39) ivanov660 написал(а):
А почему бы, ему не предложить услуги этой компании по проверке сайта на возможный взлом, оптимизацию или что-то в этом духе. Т.е. косвенно указать на тот факт, что у них есть проблемы или могут быть. Но не указывать на тот факт, что он нашел эту дыру или провел какие-то конкретные действия попадающие под взлом или хищение информации.
Перефразировав: "Я вижу у вас проблему и могу помочь".
"Вы же знаете что у большинства сайтов (разного ПО) бывают разные скрытые проблемы и дефекты (к примеру, винда от мелкософта), я занимаюсь (у меня хобби помогать людям rolleyes.gif ) оказынием подобного рода услуг, и могу оказать Вам услугу подобного рода, т.к. мне кажется (есть общие тесты для проверки грамотности создания сайта) что у вас могут быть подобные дефекты."
Подобными фразами, правильно было замечено, пользуются определенные "личности" cool.gif
т.е. нужно сказать о том, что я тестирую сайты, а любой сайт может быть взломан - на свете много плохих людей. И я предлагаю за вознаграждение поискать "дырки" и устранить их (провести оптимизацию), а не навязываю услугу. И если Вы (клиент) не хотите воспользоваться моим предложением то это Ваше право.

Спустя 4 минуты, 35 секунд (9.03.2010 - 11:44) sergeiss написал(а):
Цитата (twin @ 9.03.2010 - 11:10)
И тут все зависит от настроения хозяина сайта и грамотности юристов. Смогут они доказать ущерб - посадят за милу душу.

Ну хорошо. Вот, допустим, подсказал кто-то чуваку на улице, что у него штаны на заднице порвались. А он сам этого не заметил. А тот, кто подсказал - мастер по пошиву и ремонту одежды. И предложил зайти к нему в ателье, чтобы отремонтировать. И что - владелец порванных штанов будет подавать в суд, мол, меня оскорбили тем, что я с порванными штанами хожу? Бред...

PS. В книге Фленова "PHP глазам хакера" он четко пишет, что если находил дыры в защите на каких-либо сайтах, то всегда отписывал администраторам сайтов. Причем, занимался не мелкими сайтами, а серьёзными компаниями. Правда, бабки "за ремонт" не просил (судя по его словам) smile.gif)
Но существенно то, что он сначала проникал туда. И только потом сообщал о дыре. Иначе, до проникновения, просто невозможно узнать о наличии дыры.

И еще. В статье 272 четко сказано "Неправомерный доступ", "если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети". В рассматриваемом случае этого нету!!!
Для доступа использовались формы с данными, предоставленные самими владельцами сайта. Правильно? Правильно.
Нарушения работы сайта это "вмешательство" не вызвало, т.к. никаких изменений не было внесено. Ни в код, ни в данные.

Спустя 10 минут, 41 секунда (9.03.2010 - 11:55) waldicom написал(а):
Цитата (waldicom @ 9.03.2010 - 10:20)
А почему бы, ему не предложить услуги этой компании по проверке сайта на возможный взлом, оптимизацию или что-то в этом духе.

Если его после этого официально наймут, то ни одного вопроса не возникнет.

Цитата (ivanov660 @ 9.03.2010 - 10:39)
Вот, допустим, подсказал кто-то чуваку на улице, что у него штаны на заднице порвались. А он сам этого не заметил. А тот, кто подсказал - мастер по пошиву и ремонту одежды.

Сергей, ну ты то должен понимать, что твой пример с ситуацтей выше ничего общего не имеет. Портной ведь не проник в твой частную собственность, чтобы увидеть дырку. Она видна всем. В таком случае пожалуйста, пусть обращаются. А топикстартер провел деструктивные действия, направленные на подрыв бизнеса процветающей компании с целью наживы (или он уже денег не просит, я запамятовал)...

Спустя 6 минут, 25 секунд (9.03.2010 - 12:01) ivanov660 написал(а):
sergeiss И что - владелец порванных штанов будет подавать в суд, мол, меня оскорбили тем, что я с порванными штанами хожу? Бред...

Бред не бред, а закон есть закон. Все зависит от того с какой формулировкой будет подан искБ и к чему это приведет в итоге. Конечно есть коллизии в любом законодательстве, но определение того кто прав, а ктовиноват зависит от многих факторов, один изкоторых "ресурсы". Вспомните хотябы знаменитую Америку, где есть куча самых сумашедших исков.

Спустя 3 минуты, 16 секунд (9.03.2010 - 12:04) sergeiss написал(а):
Цитата (waldicom @ 9.03.2010 - 12:55)
Портной ведь не проник в твой частную собственность, чтобы увидеть дырку. Она видна всем. В таком случае пожалуйста, пусть обращаются. А топикстартер провел деструктивные действия, направленные на подрыв бизнеса процветающей компании с целью наживы (или он уже денег не просит, я запамятовал)

Не согласен smile.gif Дырку видно не всем, а только тем, у кого глаза есть. Слепые и слабовидящие не увидят.
В случае с сайтом та же шняга. Увидеть могут все, видят только видящие. Кто специально "прищурился"... Но для доступа ничего на сайте не ломалось, не выкрадывались никакие коды... Вход был сделан через парадные двери сайта.
Бизнес подрывает??? Да откуда такие данные? Он ничего не требует, ничем не угрожает. А просто сообщает, что есть дыра в защите сайта и просит денежку за информацию, и, возможно, за ремонт дырки. При этом ничем не угрожая, если ему не заплатят. То есть, НЕТУ ни вымогательства, ни шантажа.

Даже начинающий адвокат "разрулит" проблему, если будет наезд со стороны компании. А вероятность "наезда" очень маловероятна.

PS. Про Америку лучше не надо smile.gif Мы не там, а тут (и то хорошо smile.gif). У них иски доходят до дебилизма полного.

PPS. Я бы спокойно написал администрации сайта. С указанием на то, что у них есть дыра в защите, и с предложением как минимум оплатить информацию, а как максимум - помочь им в устранении. И с четким указанием, что "не хотите - как хотите, и без вас работы много". И хрен бы они ко мне когда докопались.

Спустя 7 минут, 14 секунд (9.03.2010 - 12:12) ivanov660 написал(а):
Еще раз повторюсь. Все зависит от формулировки: Казнить нельзя помиловать (поставте запятую где надо).
Как и что напишет от этого и будет зависеть результат. А "наезд" можно сделать, хотябы провести пиар акцию - "недобросовестные конкуренты, попытались взломать наш сайт сайт" biggrin.gif

Спустя 13 минут, 18 секунд (9.03.2010 - 12:25) Soldier Ghost написал(а):
Я им ещё не написал, и писать собирался с новой аськи зарегенной на проксях ) им ещё меня найти нужно, для того чтобы осудить.
А вообще читаю топик, достаточно интересная дискуссия )

Спустя 15 минут, 25 секунд (9.03.2010 - 12:40) waldicom написал(а):
Цитата (ivanov660 @ 9.03.2010 - 11:01)
Не согласен smile.gif Дырку видно не всем, а только тем, у кого глаза есть. Слепые и слабовидящие не увидят.

Эммм... Тогда пройдись по главному проспекту своего города с дыркой на штанах сзади smile.gif

Я согласен с тем, что вероятность подачи иска компанией мала (или не захочет раздувать, или лень возиться), но если пойдет на принцип, то топикстартер вместо денег получит нехилую головную боль... Что, повторюсь, врядли.

Спустя 24 минуты, 27 секунд (9.03.2010 - 13:05) Семён написал(а):
waldicom - понимаю, что у вас какие-то комплексы, судя по тому, что вы воспринимаете себя под "некоторые". Родители учили с теми, кто адекватно ведёт себя и трезво рассуждает. Вам интересен мой характер или я просто задел вашу эгоистичную натуру? Ваши рассуждения утопические и несут только ноты максимализма и страха перед виртуальным карательным органом. На счёт моей ситуации, в примере фигурировали целитель и прохожий, где целитель проник в мозг/тело/душу называйте как хотите и обнаружил сердечную недостаточность... - взлом, по вашему. По вашему, загружая изображение на форум, вы пытаетесь проникнуть на него, или специально хотите сломать носитель информации, переполнив его объёмом. Таких примеров можно приводить кучу и все - детский бред. Наказание можно понести в том случае если вы вымогаете деньги, но ситуацию можно обвернуть под термин "вознаграждение" за информацию, это своего рода зарплата в конверте.
----
В догонку, тогда всех должны посадить с OpenNET, ХАКЕР, milw0rm

Спустя 1 час, 42 минуты, 43 секунды (9.03.2010 - 14:48) twin написал(а):
Смешно про штаны)))
Анекдот вспомнил, про мужика с двумя фингалами.
Мужика спрашивают - за что финик.
Я, грит, в тролейбусе висел на ступеньке и увидил, что у девушки трусы в попу вперлись. Я их вынул. А второй за что? Я думал не понравилось - обратно засунул

Ну по такой аналогии он должен был не просто дырку увидеть, а поковыряться там.
И кто как рассудит. Кто то спасибо скажет, кто то нет.
Вроде тоже вреда здоровью на первый взгляд нету, но каков моральный урон может это нанести.

Закон что дышло, написано - нельзя копировать, значит нельзя. А где гарантии, что эти пароли не используются на других ресурсах, А если их много? Человек потратит рабочее время на смену, а это стоит денег. К тому же не известно, какие это может принести убытки.
А четко по закону - пожалуйста:
если это деяние повлекло уничтожение, блокирование
Пароли необходимо будет сменить. А это означает блокирование информации для людей, которые не в курсе, что пароль сменили. А блокировку повлекло именно это деяние.

Кроме того, обычно смотрят несколько статей и выносят решение в совокупности. Смотри:
Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети
Свернутый текст

1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, -

наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет.

Я с юристом общался специально, под обе подпадает.
Так что... Как не рассуждай - турьма твой дом бу-га-га ©


_____________
Schecter damien 6 FR
Быстрый ответ:

 Графические смайлики |  Показывать подпись
Здесь расположена полная версия этой страницы.
Invision Power Board © 2001-2024 Invision Power Services, Inc.