Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Ne bízz senkiben!

2008.03.18. 20:35 | buherator | 20 komment

Egyszer volt, hol nem volt, volt egyszer egy alkalmazás, úgy hívták, hogy G-Archiver. Ez a kis program szorgosan archiválta sok-sok felhasználó GMail postafiókját, hogy azok offline is elérhetőek legyenek. Történt egy napon, hogy Dustin Brooks, a bitbetyár is úgy gondolta, kipróbálja a kicsi Dzsít, mert bizony ő is szerette volna az összes levelét a merevlemeze biztonségos szektorai közt tudni. Ahogy gondolt, úgy is tett: letöltötte programot, és kimentette a leveleit. De a furfangos Dustin, miközben a bitmező szélén pipázgatott arra gondolt: - Hinnye! Van nekem egy DotNet Reflector a bugylibicskám mellett, csak meg kéne néznem már ennek a G-Archivernek a forráskódját!  Nem is vesztegette az idejét a mi hősünk, hipp és hopp, visszafejtette az alkalmazást!
Nézi, nézi a betyár a kódot, hát mit nem lát: ott van bíz' beledrótozva a kusza sorok közé egy GMail postífiók jelszava! Nem volt rest a mi Dustinunk, s bár sok routeren át vezetett az útja, csakhamar belépett a fiókba. Na kitaláljátok-e mit talált ott, a nagy keresőóriás falai közt? Hát bizony mondom nektek, ott volt ezernyi levél, az ezernyi levélben pedig ezernyi GMail felhasználó neve és jelszava!
 
Tűnödött, tűnödött az ifjú Brooks, mit is tehetne ezzel a temérdek információval, de csakhamar ravasz ötlete támadt! Fogta a pej billentyűzetét, és  világgákürtölte, hogy a G-Archiverben többé senki meg ne bízzon, mert abba John Terry gonosz kódot csempészett!
A G-Archiver felhasználók azóta megváltoztatták jelszavukat, és máig vígan leveleznek. John, a programozó azóta mindenkinek azt bizonygatja, hogy csak véletlenül hagyta benne a csintalan kódrészletet dédelgetett alkalmazásában. De az emberek csak nevetnek rajta, mert nem tudták eldönteni mi a szánalmasabb: egy gonosz programozó, vagy egy hülye?

Címkék: gmail g archiver

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Gyulus 2008.03.18. 21:48:04

Én pedig szerettem volna látni John, a programozó arkifejezését, amikor legközelebb belépve észrevette, hogy a gondosan összegyűjtögetett accountoknak nyoma veszett, mivel Dustin, a bitbetyár az utolsó szálig törölte őket.

Gideu 2008.03.18. 22:01:38

"...az utolsó szálig törölte őket." Biztos volt róla másolat.

porter 2008.03.18. 22:45:13

parszor mar ezt lehetett olvasni, es nem is igazan mai hir, ezt a verziot mar nem lehet letolteni, jopar honapja javitottak.

Mediawarrior 2008.03.18. 23:59:52

Aha....há' biztos.....:-)

peca1000 2008.03.19. 00:40:28

Magyar bitmese a "gonosz" programozóról, és a szemfüles bitbetyárról! :) Tetszett!

wroadd 2008.03.19. 05:20:40

dark future: Valóban, de ez olyan mintha a pácélszekrény javító kisiparos minden eddigi munkájánál lemásolta a kulcsokat és aztán mikor megtalálják nála azt mondja, hogy csak a biztonság kedviért volt....
Na ne már! Ha valaki debugol, azért feltűnik neki a "véletlenül" bennehagyott kód, visítva kiad egy újabb verziót, nem várja meg, amíg több ezer mail becsorog a postaládájába...

Csizmazia Darab István [Rambo] · http://antivirus.blog.hu 2008.03.19. 08:17:13

Jo a post, tetszett a stilusa is, gratula :-D
Ami viszont nagy kerdes, mi van azokkal a tobbi programokkal, amit (MÉG?) nem reverseltek vissza (ami ugyebar ELVILEG nem engedelyezett), es megis van/lehet bennuk valami kobgyok... Ugy tunik, van letjogosultsaga a nyiltforraskodnak :-)

nyomasek_bobo · http://sopron.e-cafe.hu 2008.03.19. 08:50:11

Node hogy lépett be az ürge Gmail postafiókjába? Mert ha olyan könnyen feltörhető, tökmindegy, ha más is megszerzi a jelszavam.

Joe Pass · http://vegyes.blog.hu 2008.03.19. 09:17:36

"ott van bíz' beledrótozva a kusza sorok közé egy GMail postífiók jelszava"

Na, szoval akkor ez nem jelszo volt valojaban, hanem username, igaz???

buherator · http://buhera.blog.hu 2008.03.19. 09:21:00

@porter
Nem a hírértéke miatt írtam, hanem azért, mert tanulságos az eset, és jó ha minél több helyen lehet róla olvasni. Az emberek többsége természetesnek veszi, hogy a programok amiket használnak azt és csak azt csinálják, amit elvárnak tőle, ez pedig sajnos elég nagy tévedés.

@nyomasek_bobo
Olvasd el a posztot!

Joe Pass · http://vegyes.blog.hu 2008.03.19. 09:22:05

Vagy inkabb mindketto:

"John Terry, the apparent creator, hard coded his username and password to his gmail account in source code." - idezik magat a betyart a "codinghorror"-on.

De az akkor se vilagos, hogy miert hagyta benne a kodban JT a jelszavat is...

Joe Pass · http://vegyes.blog.hu 2008.03.19. 09:24:45

Jo, mar megvan. Sajat maga kuldte el maganak, azert kellett a programnak mindketto.

Bocs, hogy igy teleirtam a postot kommentekkel, torold nyugodtan... :-)

buherator · http://buhera.blog.hu 2008.03.19. 09:25:14

@Joe Pass
Gondolom azért, mert kellett neki egy megbízható SMTP szerver, amin keresztül tud levelezni, a GMail pedig autentikál.

Joe Pass 2008.03.19. 09:27:28

porter,

olyan vagy, mint a Tuzoltoparancsnok a kopasz enekesnoben:

"Tuzoltoparancsnok: Nem valami hires - meg aztan ismerem is..."

:-)

mark renton 2008.03.19. 10:20:49

A történet nekem sántít egy kicsit.

A G-Archiver nem csinál semmi olyasmit, amit egy elsőéves programozópalánta ne tudna összeszerencsétlenkedni házifeladatnak.

Mi motiválja a profi programozót, hogy egy ilyen progit visszafejtsen?
Ez olyasmi lenne, mintha egy pék csak azért szétszedné egy másik pék zsömléjét, hogy megnézze a belsejét.

buherator · http://buhera.blog.hu 2008.03.19. 10:48:04

@mark renton
"Miért csinálom? Mert meg tudom csinálni!" Ennyi a dolog lényege. Én is fejtetem már vissza Java kódot hobbiból (jó móka kijavítgatni a reflector hibáit, meg rájönni, hogy hogy működnek a dologk). Nekem egyébként minden program gyanús ami kiváncsi a jelszavaimra, ez is benne lehetett a dologban. Egyébként Trainspotting rulez ;)

CR · http://www.ericsson.com 2008.03.23. 14:17:54

@mark renton 2008.03.19

"Mi motiválja a profi programozót, hogy egy ilyen progit visszafejtsen?"

szerintem figyelte a halozati forgalmat, es feltunt neki hogy erdekes helyekre megy az o sajat pass-e. szerintem ha valaki ilyet lat az mar eleg motivacio =D