छोटी कंपनियों की बड़ी मूर्खता के बारे में

मेरी सेवा के परिणामस्वरूप, मैं समय-समय पर विभिन्न प्रकार की आधिकारिक विसंगतियों का सामना करता हूं।
उदाहरण के लिए, तकनीकी सहायता के साथ जो यह नहीं जानता कि एक समर्थित उत्पाद कैसे काम करता है।
लेकिन हर कोई इससे परिचित है और आप इससे किसी को आश्चर्यचकित नहीं करेंगे। मैं आपको पूरी तरह से गंभीर मामले के बारे में बताऊंगा

मैंने साइटों को कैसे तोड़ा

मैं तुरंत एक आरक्षण करूंगा: मुझे इंटरनेट पर अच्छे स्वाद के नियमों के बारे में पता है और इसके बारे में आपको संसाधनों के मालिकों को सूचित करने या कमजोरियों के बारे में बताने की आवश्यकता है। इस मामले में, मैंने ऐसा नहीं किया, भेद्यता की कमी और अश्लील मूर्खता की उपस्थिति के कारण।

एक ठीक सुबह मुझे यह जांचने की आवश्यकता थी कि एक कंपनी की साइट एक संभावित कदम को देखते हुए किसी अन्य साइट पर कैसे काम करेगी।

यह पता चला कि साइट को उस कंपनी द्वारा होस्ट किया जाता है जो इसे बढ़ावा देती है। प्रबंधन के लिए, DBedit प्रोग्राम का उपयोग किया जाता है, जो पहले से ही कंपनी की वेबसाइट पर खोजने के लिए एक समस्या थी। सफलतापूर्वक निपटाने के बाद, मैं सीएमएस को साइट से जोड़ने के लिए आगे बढ़ा। मेरे पास पूरी तरह से अलग कंप्यूटर साक्षरता के लोगों के लिए एक विस्तृत मैनुअल बनाया गया था। इस पांडुलिपि को पढ़ते हुए, होस्टिंग कंपनी की पर्याप्तता के बारे में पहला संदेह सामने आया।

तथ्य यह है कि साइट को इंटरबेस डेटाबेस में एक सर्वर पर संग्रहीत किया जाता है। मैं इसे सुनकर परिचित नहीं हूं और मुझे पता है कि स्थापना के दौरान एक मानक SYSDBA लॉगिन-पासवर्ड जोड़ी बनाई जाती है - मास्टरकी, और यह किसी अन्य के लिए परिवर्तित होना चाहिए। क्लाइंट लॉगिन-पासवर्ड उनके मूल रूप में जारी किया जाता है। इसलिए मैनुअल में पासवर्ड बदलने की आवश्यकता के बारे में एक शब्द नहीं है। आपको याद दिला दूं कि मैनुअल एक डिज़ाइनर या कंटेंट मैनेजर के लिए डिज़ाइन किया गया है, जिसे स्टैंडर्ड पासवर्ड के बारे में कोई जानकारी नहीं है। आगे देखते हुए, मैं ध्यान दूंगा कि आप इसे DBedit इंटरफ़ेस के माध्यम से नहीं बदल सकते हैं और समर्थन में संचार भी कुछ नहीं मिला है। पासवर्ड नहीं बदला!

"फिर भी," आप कहते हैं। "सुरक्षा का एक और स्तर है जो सामग्री तक पहुंच को प्रतिबंधित करता है।"
क्या मैं तुम्हें परेशान कर सकता हूँ? "वह वहाँ नहीं है।" ईमानदारी से। खैर, वास्तव में। यहाँ सबूत है:



क्या आप कृपया कह सकते हैं: “कनेक्शन मापदंडों के बारे में क्या? पटाखा उन्हें नहीं जानता। "
और वह जानता है। पर्याप्त: उनकी होस्टिंग खरीदें / एक दोस्त से पूछें, जिनके पास पहले से ही एक खाता है - और आपको सामान्य पैरामीटर पता चल जाएगा। वे जटिल नहीं हैं:

%_____%._.ru: %_____%

और वह यह है। वह सब है। अपने ग्राहकों के विशाल बहुमत के लिए, ये विकल्प समान हैं।
आप सीएमएस, स्टीयर सामग्री में जा सकते हैं, जो आपको पसंद है वह करें। परिवर्तनों को बचाने के लिए याद रखना।

इतना सरल नहीं है! अरे नहीं। बस।

यहां मैं अभी भी आश्चर्य की प्रतीक्षा कर रहा था - साइट पर सीएमएस के माध्यम से किए गए कोई भी परिवर्तन प्रदर्शित नहीं किए गए थे। लेकिन मैं एक पुस्तिका के साथ एक पाठ्यपुस्तक थी ...

आपको एक विशेष साइट पर जाने और अन्य (sic!) उपयोगकर्ता नाम और पासवर्ड दर्ज करने की आवश्यकता है ताकि परिवर्तन लागू हों।
“ठीक है, देवताओं की महिमा! यह कुल्हकारों के लिए एक बाधा है! ”मैंने सोचा, और मुझसे गलती हुई।

हम फार्म की विशेष साइट पर जाते हैं: %_%.%_%.ru

आपसे प्रमाणीकरण मांगा जाता है।
जहाँ लॉगिन% your_domain% है, और पासवर्ड% your_domain% के पहले 4 वर्ण हैं।
क्या यह चमत्कार नहीं है? यह इस कंपनी द्वारा होस्ट किए गए अधिकांश डोमेन के लिए सही है। इस डेटा को बदलना भी संभव नहीं है।

साइट पर आप किए गए सभी परिवर्तनों को देखते हैं। फिर लिंक का अनुसरण करें

%_%.%_%.ru/genstart

और यह बात है। आपके द्वारा किए गए सभी परिवर्तन उत्पादन के लिए सबमिट किए जाते हैं।

पुनः जांच करें

पिंग की मदद से, मैंने आईपी सर्वर को पहचाना जिस पर हमारी साइट पड़ी थी।
2IP.RU संसाधन पर, मैंने इस IP पर स्थित सभी डोमेन को पहचान लिया।
और सूची के माध्यम से चला गया। इस पते पर लगभग सभी 84 साइटों पर मानक पासवर्ड आए।
मैंने पड़ोसी के आईपी की जांच की - एक ही स्थिति है।
मैंने सीएमएस से कनेक्शन की भी जांच की और साइट पर पूर्वावलोकन-व्यवस्थापक के लिए पासवर्ड उपयुक्त है या नहीं।

अंतभाषण

अधिकांश रूढ़िवादी अनुमानों के अनुसार, कम से कम सौ साइटों में समान पासवर्ड होते हैं।
लोगों की व्यावसायिकता को उभारा जा सकता है।
मैं तीन कारणों से कार्यालय का नाम नहीं बताऊंगा:

1. उनके साथ उनकी साइट रखने वाली फर्मों के दोष से खुश होने की संभावना नहीं है।
2. तोड़ने की जल्दबाजी में वेबसाइट को बर्बाद करने के लिए सीखने की कोई इच्छा नहीं है।
3. पाठ में संकेतों के अनुसार, अपने आप से दुर्भाग्यपूर्ण कार्यालय को ढूंढना बहुत सरल है।

आपका ध्यान देने के लिए धन्यवाद।