- Поисковые системы
- Практика оптимизации
- Трафик для сайтов
- Монетизация сайтов
- Сайтостроение
- Социальный Маркетинг
- Общение профессионалов
- Биржа и продажа
- Финансовые объявления
- Работа на постоянной основе
- Сайты - покупка, продажа
- Соцсети: страницы, группы, приложения
- Сайты без доменов
- Трафик, тизерная и баннерная реклама
- Продажа, оценка, регистрация доменов
- Ссылки - обмен, покупка, продажа
- Программы и скрипты
- Размещение статей
- Инфопродукты
- Прочие цифровые товары
- Работа и услуги для вебмастера
- Оптимизация, продвижение и аудит
- Ведение рекламных кампаний
- Услуги в области SMM
- Программирование
- Администрирование серверов и сайтов
- Прокси, ВПН, анонимайзеры, IP
- Платное обучение, вебинары
- Регистрация в каталогах
- Копирайтинг, переводы
- Дизайн
- Usability: консультации и аудит
- Изготовление сайтов
- Наполнение сайтов
- Прочие услуги
- Не про работу
Все что нужно знать о DDоS-атаках грамотному менеджеру
И как реагировать на "пожар", когда неизвестно, где хранятся "огнетушители
Антон Никонов
Saacy, прав в том, что Ctrl+C / Ctrl+V - плохо и в двойне плохо когда из подобного паблика.
Суть конечно немного преувеличена, т.к. и сами сайты не известны, и конечные адреса до конца не ясны...
Но если кто-то из ветки положит в папку /csp/ .htaccess - хуже точно не будет.
Угу.
Только данные обрабатываются по stripslashes(json_encode($data)); перед записью в файл и перед парсингом их них имени файла.
И, самостоятельная установка этого скрипта подразумевает минимальные знания php и настройку "под себя". Вы даже не узнаете, в какую директорию пишет файлы этот скрипт.
Она может иметь соответствующие права и быть недоступна снаружи через http.
Ladycharm, вы очень упёртая(ый). 🍿
Уверяю вас, что чистый PHP код вставить туда можно. Если вы так уверены в stripslashes и json_encode, не буду переубеждать. Просто обратите внимание на USER_AGENT. Он никак не фильтруется и пишется целиком.
Как быстро можно узнать директорию - зависит от настроек выплёвывания ошибок сервером. Еще можно бесконечно играть с относительными путями и писать файл куда я захочу.
И я не пытаюсь найти работу, а просто ищу полезные знакомства.
Суть конечно немного преувеличена, т.к. и сами сайты не известны, и конечные адреса до конца не ясны...
Сами сайты найти не сложно - навалом сервисов, которые парсят заголовки, report-uri можно найти через них.
Суть - не преувеличена, а полностью искажена, поскольку залить и исполнить php-код через указанный вариант скрипта csp.php - не получится.
Пусть аффтар сначала попробует сделать эксплоит, а потом уже мусорит в профильной теме.
Ladycharm, вы очень упёртая(ый). 🍿
Не, у меня просто знаний - побольше вашего, поэтому не люблю, когда разные теоретики "по ушам ходят".
Я написал вам как "сделать эксплоит".
1. Берём скрипт.
2. Сохраняем в корень сайта.
3. Указываем в заголовках его как report-uri.
4. Меняем свой USER AGENT на "<?php echo 123; ?> (можно использовать плагин для браузера).
5. Добавляем на сайт <script src="http://injection.php/"></script>.
5а. Заходим на сайт 1 разок (если не добавляли динамически).
6. Открываем папку с логами и смотрим injection.php
🍿
Уверяю вас, что чистый PHP код вставить туда можно. Если вы так уверены в stripslashes и json_encode, не буду переубеждать. Просто обратите внимание на USER_AGENT. Он никак не фильтруется и пишется целиком.
Вроде suhosin все это чистит, так что не должно быть проблем.
Подскажите пожалуйста, где закралась ошибка.
Начал настраивать CSP.
В отчетах выскакивает отчет по доменам c1n1.hypercomments.com, c1n2.hypercomments.com, c1n3.hypercomments.com
Хотя домен hypercomments.com прописан в CSP всеми возможными способами.
Вот мой connect-src
Может кто поможет подправить, чтобы не было этого отчета. Остальное нужное работает нормально.
Подскажите пожалуйста, где закралась ошибка.
Начал настраивать CSP.
В отчетах выскакивает отчет по доменам c1n1.hypercomments.com, c1n2.hypercomments.com, c1n3.hypercomments.com
Saacy, у меня к вам лишь одно предложение, если вы говорите, что все csp.php уязвимы в этом топике, предложите нам ваш вариант, пожалуйста.
Ladycharm, а вот с такими вещами что делать?:
2 - "blocked-uri":"data","status-code":200
3 - "blocked-uri":"data","status-code"
Особенно много в отчетах второго варианта.
chromenull: - это какой-то расширение Хрому заблочено. Я смотрю по этому же IP и ЮзерАгенту что ещё было в это же время. Там обычно есть что-либо вроде chrome-extension://nhgcieglcpdegkhamigiokdphfhhnlhh, где nhgcieglcpdegkhamigiokdphfhhnlhh - уникальный ID расширения. Проверяю этот ID поиском по Хроме Вебсторе - если там такого нет - расширение нелегальное, фтоппку его.
blocked-uri data - смотрите по полю "violated directive" в какой директиве вызвана блокировка:
1. в директиве script-src: инлайн скрипты вида:
data:text/javascript;base64,KGZ1bmN0aW9u... или
data:text/javascript,(function()%7Bvar%20e..., их используют только malware и некоторые редкие тизерки - в топку их, если сайт не монетизируется этими тизерками. Если монетизируется такими тизерками - делаю пустую страницу с одной тизеркой и смотрю по отчётам CSP что она использует, и открываю это в CSP.
2. в директиве img-src: это инлайн картинки типа data:image/gif;base64,... могут использоваться как движком сайта/плагинами, так и малваре. Надо изучать страницу сайта (из поля "document-uri"). Чтобы открыть работу таких инлайн-картинок, надо в директиву img-src добавить data:.
3. в директиве style-src: это стили типа data:text/css - аналогично п. 2. надо изучать страницу сайта, где возникла блокировка.
Случайно увидел топик. Решил глянуть свою статистику по переходам. Открыл и прибалдел.😮 (статистика за февраль)
[ATTACH]140877[/ATTACH]
В общей сумме более 300 различных адресов.
Не имея и малейшего понятия о том, что такое CSP дважды перечитал топик и ушел настраивать.
Сегодня с утра такая картина.
[ATTACH]140878[/ATTACH]
Кроме того, подрос ЦТР на адсенсе. Правда, делать выводы о том, связано ли это с CSP пока рано, но факт обнадеживающий:)
В общем, всем участникам обсуждения огромное спасибо за такой объем полезной и понятной инфы.