chemedia Aug 30 2011 at 11:46

Дыры на zakupki.gov.ru

1 min

7.9K

Information Security*

+63

Comments 55

chemedia Aug 30 2011 at 12:05

Полностью закрыли FTP для этого юзера :) и ответили

Ваше обращение с номером SD1000383520 было закрыто.

Решение:
В данной папке находятся сведения о заказе, которые обычно отображены в открытой части ООС.Загружать туда сведения никто не может.

Mithgol Aug 30 2011 at 12:06

О-о, ваще-е!…

chemedia Aug 30 2011 at 12:09

Кто то успел разместить файл «здесь был Навальный.txt». — вот хулиганы.

+42

Mithgol Aug 30 2011 at 12:14

До или после этой публикации на Хабрахабре?

chemedia Aug 30 2011 at 12:16

До.

Boomburum Aug 30 2011 at 16:16

Значит Навальный там правда был.

chemedia Aug 30 2011 at 16:19

Не думаю.

-1

Talyutin Aug 30 2011 at 12:07

Предвижу неделю «Госзакупок» на хабре.

+25

equand Aug 30 2011 at 20:44

Население Тендеров +35

startsevdenis Aug 30 2011 at 12:07

Доступ уже закрыт. На самих файлах внутри папки были атрибуты 644, так с существующими файлами вы бы ничего не сделали, максимум бы что закинули своих. Хотя можно было бы подсунуть xml в том формате что лежали внутри, интересно появилась бы она на сайте.

UFO just landed and posted this here

maddogg Aug 30 2011 at 12:17

может что посерьезнее найдете?

startsevdenis Aug 30 2011 at 12:23

Кстати до сих пор работает анонимный доступ на данный фтп, можно пополнить базу организаций России, а так же спам базу для e-mail рассылок. К примеру там присутствует организация с названием «Тестовая организация 3».

square Aug 30 2011 at 12:37

а где дыра-то?

-7

UFO just landed and posted this here

Lure_of_Chaos Aug 30 2011 at 12:46

Надо ещё посмотреть, не лежат ли там директории .svn :)

AlexSky Aug 30 2011 at 13:01

А сейчас по этому адресу лежит только пустой каталог HabraHabr. :)

AlexSky Aug 30 2011 at 13:05

Забыл включить в ссылку пользователя и пароль. Правильная ссылка.

Lure_of_Chaos Aug 30 2011 at 13:06

А. Ну значит, уже не один. Нашлись хабровчане :)

Lure_of_Chaos Aug 30 2011 at 13:08

И вообще там в реалтайме интересное творится :)

Lure_of_Chaos Aug 30 2011 at 13:05

Уже нет. Там всё походу «лежит».

AlexSky Aug 30 2011 at 13:08

Там список каталогов, похоже, меняется каждые несколько секунд. Резвится народ.

vad78 Aug 30 2011 at 13:07

Ну и туда заливать интересные файлы. халявный ftp хостинг

Lure_of_Chaos Aug 30 2011 at 13:17

Что, халява опять кончилась?

Lure_of_Chaos Aug 30 2011 at 13:19

Что, халява опять кончилась?

Lure_of_Chaos Aug 30 2011 at 13:21

Пардон, это Хабр залип на минуту.

rmrevin Aug 30 2011 at 13:25

Эх, опоздал, работа отвлекает

lionsimba Aug 30 2011 at 13:25

В продолжение темы: 77.246.101.195/../ (анонимный вход!)

Уж не знаю, что оттуда полезного можно выцепить. Папок, доступных на запись сходу не нашлось.

Lure_of_Chaos Aug 30 2011 at 13:29

~~Антарктида~~ Хабр быстро вылечит от безответственности! Ща народ быстро ещё проконсультирует Закупки насчёт безопасности :)

chemedia Aug 30 2011 at 13:44

А мне кажется что это совсем не плохая идея, если б они действительно прислушивались к советам.

Lure_of_Chaos Aug 30 2011 at 13:47

Ну, вроде бы прислушиваются. Уже нельзя ни залить файл, да и по фтп наполовину прикрыли доступ :)

Toozla Aug 30 2011 at 15:26

Ну что оттуда выцепить… Персональные данные…
В соответствии с ФЗ о персональных данных таковыми являются имя-фамилия-отчество. А в любом из файлов в папочке /auto/organization/all/ их огромное количество.
Надзорные органы! Ау!

diamant Aug 30 2011 at 13:43

Надеюсь, они не доберутся до сайта президента…

AlexeyK Aug 30 2011 at 13:44

а вы кто? админ этого сайта?

Isis Aug 30 2011 at 13:45

Привет, я пассивная XSS.

+13

Isis Aug 30 2011 at 13:49

Ой да их там куча…

+11

ComputerPers Aug 30 2011 at 14:07

Вы поломали их сайт! за вами выехали

-9

Isis Aug 30 2011 at 13:55

Error 500: java.lang.NullPointerException
Короче дальше даже смотреть не хочу. Хорошо зарабатывают чуваки =)

deniamnet Aug 30 2011 at 18:30

Портлет временно отключен.

Tolsi Aug 30 2011 at 13:48

а почему не в зоне.рф? закупки.гов… дальше я бы не читал, и так всё ясно.

-2

KotAlex Aug 30 2011 at 15:46

Лучше бы в зоне .no :)

VovixLDR Aug 30 2011 at 15:46

3аkуnku сн0ва в3л0малu… n0чему же uм таk не ве3ет?

-5

Xlab Aug 30 2011 at 18:23

……

UFO just landed and posted this here

shushu Aug 30 2011 at 16:24

файлик .bash_history в корне ftp — доставляет

run4way Aug 30 2011 at 18:23

zakupki.gov.ru/pgz/public/action/orders/info/common_info/show?notificationId=880145

Оказание телепатических услуг по обеспечению доступа к сети интернет 28 образовательных учреждений Шамильского района РД

voftik Aug 30 2011 at 18:25

Ребята, нам просто чего то не договаривают… мы то все про оптоволокно… а там давно уже телепаты в дуплексном режиме работают)

mihaild Aug 30 2011 at 19:45

Это, видимо, отпускные.

Jeditobe Aug 31 2011 at 00:41

может месячные?

mihaild Aug 31 2011 at 03:42

Отпускные

llxff Aug 31 2011 at 01:07

наверное, выглядит это так: goo.gl/rrU2F

arinoki Aug 31 2011 at 02:41

вы не залили данное видео на сайт гос-закупок — так что незачёт)

screwdiver Aug 30 2011 at 20:48

Это тот самый сайт, по поводу которого были распилены сотни миллионов нефти?

arzzaba Aug 31 2011 at 01:38

Давайте вместе сделаем Тамбовскую область лучше! Хотя бы виртуально…

cblnok May 17 2012 at 10:52

Только увидел данный пост, давно не заходил на великий Хабр, в начале января 2011 на tendery.ru мной была опубликована не до полу записка о наличии XSS в zakupki.gov.ru, прошло время ничего не изменилось ^_^ Зато милионы нефти все еще пилят…

Show the best of all time