Garin33: Romka_Kharkov - а как такое возможно? Если вы ставите WP, то откуда некто, кто обращается к сайту знает параметры подключения к базе (юзер, база, пароль)?
Смотрите пошагово:
1. Качаю WP. (На соседнем мониторе tail лога по POST)
2. Распаковываю.
3. Захожу на страничку, оно мне welcome , начинайте устанавливать...
4. Шаг установки просит полезть в конфиг и прописать там данные.
5. Прописываю, нажимаю >>Next , а оно мне в ответ "у вас уже установлен WP почистите базу". Хотя она предварительно была почищена до пункта #1.
6. Смотрю лог на соседнем экране из п. #1 а там кроме моего поста еще один тоже на установку.... :)
Проделывал не поверите раза 3.... пока перед началом установки не закрыл htaccess все кроме своего IP... По той же схеме WP Установился идеально, вопросов не возникает больше, могу предположить пока что это целевая атака на конкретный сайт, что бы даже в момент установки "неопытным пользователем" можно было успеть навредить..... Как-то так, иных пояснений у меня пока не находится....
---------- Добавлено 18.07.2013 в 17:56 ----------
awasome: Этот некто однозначно бот. То есть, если правильно понимаю, смена паролей не помогает? Может, дыра вовсе не в сайте?
Да не в паролях дело, просто между тем моментом как я поменял пароль в конфиге для установки, и тем моментом пока я продолжил установку - вклинивается POST запрос со всеми данными типа купите Xbox ;) Ясно? Опережает мой тычек........ либо долбит по интервалу.
---------- Добавлено 18.07.2013 в 17:57 ----------
SeVlad:
Если база прописана в конфиге, но таблицы не созданы, то само-собой будет редирект на инстал, где бот тупо заполнит поля и отправит форму. Как собсно и в любом другом двиге.
+100500.
SeVlad:
А какие данные? Название блога, юзер.. Какие-то ещё настройки, отличные от дефолтных производятся (пермалинеки, час. пояс, темы-плагины и тп.)?
Из явно видимого название блога типа "купите Xbox"... ну заполняются шаблонные данные, левый admin левый пароль .... название, глубже не изучал, может там и записи какие-то создаются....
Alex_Us: Как можно не ограничивать? Например, я покупаю у вас шаред за 1 доллар/месяц, ставлю форум 5000 онлайн. И что вы на это скажете?
Хотите я вам расскажу свою теорию, она не будет ответом от того, кого вы спрашиваете но пояснит вам возможные пути достижения нормальной работы без лимитации.
Разберем вашу фразу на составляющие:
Q1. Вы платите 1$.
Q2. Вы ставите форум 5000 уникалов в сутки (видимо).
A1. У нас например, за 1$ можно купить 100MB Места и 5 GB трафика в месяц, при условии 1го домена.
A2. При 5k online у вас 5 GB трафика кончится через полчаса, акаунт будет отключен, нагрузки больше создавать не будет. Если он не кончится на стадии заливки вещаемого контента в 100 MB пространства.
/// В процессе изучения наткнулся на еще один интересный феномен, представьте себе, беру WP с оригинального сайта, заливаю, только указываю пароли к базам, хоп и заливается туда база с левым содержанием, у меня была паника минут 15.. пока не изучил логи.... В момент когда я заливаю WP кто-то начинает его устанавливать ... то ли бот то ли реальный зловред... стало быть он успевает установить WP быстрее меня.... со своими данными :D Это прямо не касается изучаемой уязвимости, но тоже довольно интересный ход... видимо боты каким-то макаром понимают что WP еще не установлен и начинают эту процедуру сами..... ;) :) :)
netwind: Romka_Kharkov, на практике дублировать управляющую ноду не обязательно. Кластер будет продолжать обслуживать запросы нормально и без нее.
Вот sql-ноды можно и продублировать. То есть минимальная отказоустойчивая схема должна содержать хотя бы три компьютера :
1. управляющая нода
2. ndb-нода с данными первая. sql первый
3. ndb-нода с данными вторая . sql дублирующий.
(Честно говоря, не помню почему нужно выносить управляющую отдельно. что-то неочевидное там.)
Цели разработки mysql cluster были таковы, что любой компонент можно продублировать неоднократно, поэтому можно и их несколько держать.
Как вы там в приложении сделаете подключения в двум серверам - проблемы вашего приложения. К сожалению, mysql cluster ничего особенного для этой цели не предоставляет.
Один из простых вариантов запускать sql-ноду прямо на вебсервере.
Видимо в процессе первого взлома злоумышленник поменял пароль админа WP, после чего просто заходит и заливает как так и надо :) :) :) Вот она сила дебага :D
NDB - не Юзал да и чёт сильно не охота. Может позже если понадобится, и то без тестов не полезу на неё :) - а percona-xtradb вроде бы не плохо себя показывает.
Буду читать... в NDB меня смутила одна штука , не знаю пока как тут реализовано, но все же:
Как собрать 10 серверов и настроить их к менеджмент ноде... все понятно, вопрос в том, как обеспечить отказоустойчивость этой менеджмент ноды, ведь она получается одна и фактически от нее зависит кластеризация, а если она упала? кто потом разберется как должны быть данные, где новые, где старые, при беседе с тем же Андрейкой, он упоминал о конструкции с двумя менеджмент нодами, но как-то я или не понял или не нашел где читать, две менеджмент ноды могут друг друга дублировать в случае падения? Т.е на API концах можно указать 2 менеджмент ноды и оно там само определится к какой подключится если одна мертва?
---------- Добавлено 17.07.2013 в 13:40 ----------
netwind: Но у вас же там, судя по другим размышлениям, объемы базы небольшие.
С этим ничего подозрительного - все описано. Слишком упрощенный и пессимистический подход. И автора уже забанили. Там есть скрипт подсчитывающий по текущей базе, сколько понадобится памяти в NDB. Причем, неидексированные колонки таки можно хранить на диске.
Верно, данных не много там и 100 метров наверное не наберется... но это как бы не совсем меняет суть, хочется знать будущее :D :D :D как обычно :) По этому и хочется понимать к чему идем... а то сегодня 100 метров завтра 100 гиг, а решение уже не подойдет выходит....
HostZealot: Вы просто указали в стартпосте CP : 100, если я не ошибаюсь.
Для меня данное значение не имеет смысла, мы не ограничиваем пользователей по ЦП на шаредах.
Более того не могу найти, в чем измеряется это CP, может кто-то из хостеров оперирующих данным ограничением сможет прояснить?
Поддерживаю, тоже хочется знать в чем считается CP, если не ошибаюсь этот параметр у ISP появился. В нашем случае так же лимитов на CPU нет.
ТС, но есть одно НО, вы говорите о каком-то Вип тарифе за 20$ , а про сайт я ничего не увидел конкретного, сколько уникальных в сутки ? какой трафик ? сколько места кушает сайт? какой контент ? какой тип контента ? Или это все не важно, типа дайте 100 CP и трава не расти :D ?
sanal-erdni-goriaev: Мне просто нужны конкретные ссылки! вот вы каким хостингом пользуетесь? Насчет яблок согласен! Но где бы яне был я всегда могу знать сорт яблок и покупать проверенное так же и про хостинг! Я хотел понять какая фирма является лидером рынка!
Хостингом я пользуюсь своим :D Но не обращайте на это внимание :D
Беда в том, что вы фундаментально ошибаетесь в своем суждении, яблоки вы действительно можете попробовать и где угодно знать как они выглядят, а вот с хостингом фигушки ))) вы можете купить его у TOP #1 провайдера и через 2 дня прибежать сюда в расстроенных чувствах ;)
madoff: galera - и будет тебе счастье, правда почитай сразу ограничения, что-бы ты в них не влез.
А можно в двух словах разницу от NDB? Я читал о ней, понятно что ничего пока не понятно, надо тестировать :D Но как в личной беседе мне сказал Андрейка, там весьма подозрительная штука с использованием памяти... (я про NDB), говорит что если например ваша база 15 GB то каждая нода должна иметь минимум x2 памяти, т.е по 30 G в каждой... как-то так, не то что бы это меня сильно расстроило.... но все же... :)
Да уж, что тут обсуждать, интересно что бы ТС сказал если бы тикет был про то, как у него перестал работать его любимый закодированный скрипт после обновления ioncube по просьбе другого пользователя :D Кстати, я вообще например при suPHP Не вижу проблем использовать внутри своего окружения свой Loader... по моему это вполне возможно....
seolancer: ИМХО Я бы сбежал от хостера, который бы из-за первого встречного клиента ПО сервера менял.
Тут тоже не совсем логично, иногда надо проводить апгрейды, как пишут и ввиду безопасности и ввиду новых версий, но это вовсе не означает что хостеры должны сидеть на сайте ioncube (В данном случае) и мониторить их версии, после чего бежать и обновляться.... К тому же действительно не ясно, будут ли работать другие продукты которые работают с текущей версией после обновления... А так конечно "обновите мне апачик" на виртуальном хостинге - как минимум смешно :D
Romka_Kharkov - а как такое возможно? Если вы ставите WP, то откуда некто, кто обращается к сайту знает параметры подключения к базе (юзер, база, пароль)?
Смотрите пошагово:
1. Качаю WP. (На соседнем мониторе tail лога по POST)
2. Распаковываю.
3. Захожу на страничку, оно мне welcome , начинайте устанавливать...
4. Шаг установки просит полезть в конфиг и прописать там данные.
5. Прописываю, нажимаю >>Next , а оно мне в ответ "у вас уже установлен WP почистите базу". Хотя она предварительно была почищена до пункта #1.
6. Смотрю лог на соседнем экране из п. #1 а там кроме моего поста еще один тоже на установку.... :)
Проделывал не поверите раза 3.... пока перед началом установки не закрыл htaccess все кроме своего IP... По той же схеме WP Установился идеально, вопросов не возникает больше, могу предположить пока что это целевая атака на конкретный сайт, что бы даже в момент установки "неопытным пользователем" можно было успеть навредить..... Как-то так, иных пояснений у меня пока не находится....
---------- Добавлено 18.07.2013 в 17:56 ----------
Этот некто однозначно бот. То есть, если правильно понимаю, смена паролей не помогает? Может, дыра вовсе не в сайте?
Да не в паролях дело, просто между тем моментом как я поменял пароль в конфиге для установки, и тем моментом пока я продолжил установку - вклинивается POST запрос со всеми данными типа купите Xbox ;) Ясно? Опережает мой тычек........ либо долбит по интервалу.
---------- Добавлено 18.07.2013 в 17:57 ----------
Если база прописана в конфиге, но таблицы не созданы, то само-собой будет редирект на инстал, где бот тупо заполнит поля и отправит форму. Как собсно и в любом другом двиге.
+100500.
А какие данные? Название блога, юзер.. Какие-то ещё настройки, отличные от дефолтных производятся (пермалинеки, час. пояс, темы-плагины и тп.)?
Из явно видимого название блога типа "купите Xbox"... ну заполняются шаблонные данные, левый admin левый пароль .... название, глубже не изучал, может там и записи какие-то создаются....
Как можно не ограничивать? Например, я покупаю у вас шаред за 1 доллар/месяц, ставлю форум 5000 онлайн. И что вы на это скажете?
Хотите я вам расскажу свою теорию, она не будет ответом от того, кого вы спрашиваете но пояснит вам возможные пути достижения нормальной работы без лимитации.
Разберем вашу фразу на составляющие:
Q1. Вы платите 1$.
Q2. Вы ставите форум 5000 уникалов в сутки (видимо).
A1. У нас например, за 1$ можно купить 100MB Места и 5 GB трафика в месяц, при условии 1го домена.
A2. При 5k online у вас 5 GB трафика кончится через полчаса, акаунт будет отключен, нагрузки больше создавать не будет. Если он не кончится на стадии заливки вещаемого контента в 100 MB пространства.
Возможны и другие варианты. :)
/// В процессе изучения наткнулся на еще один интересный феномен, представьте себе, беру WP с оригинального сайта, заливаю, только указываю пароли к базам, хоп и заливается туда база с левым содержанием, у меня была паника минут 15.. пока не изучил логи.... В момент когда я заливаю WP кто-то начинает его устанавливать ... то ли бот то ли реальный зловред... стало быть он успевает установить WP быстрее меня.... со своими данными :D Это прямо не касается изучаемой уязвимости, но тоже довольно интересный ход... видимо боты каким-то макаром понимают что WP еще не установлен и начинают эту процедуру сами..... ;) :) :)
Romka_Kharkov, на практике дублировать управляющую ноду не обязательно. Кластер будет продолжать обслуживать запросы нормально и без нее.
Вот sql-ноды можно и продублировать. То есть минимальная отказоустойчивая схема должна содержать хотя бы три компьютера :
1. управляющая нода
2. ndb-нода с данными первая. sql первый
3. ndb-нода с данными вторая . sql дублирующий.
(Честно говоря, не помню почему нужно выносить управляющую отдельно. что-то неочевидное там.)
Цели разработки mysql cluster были таковы, что любой компонент можно продублировать неоднократно, поэтому можно и их несколько держать.
Как вы там в приложении сделаете подключения в двум серверам - проблемы вашего приложения. К сожалению, mysql cluster ничего особенного для этой цели не предоставляет.
Один из простых вариантов запускать sql-ноду прямо на вебсервере.
Спасибо, буду еще думать и думать :D
Видимо в процессе первого взлома злоумышленник поменял пароль админа WP, после чего просто заходит и заливает как так и надо :) :) :) Вот она сила дебага :D
Поменял пароль в базе на админа , жду дальше :D
http://www.percona.com/doc/percona-xtradb-cluster/index.html - На читай там всё написано.
NDB - не Юзал да и чёт сильно не охота. Может позже если понадобится, и то без тестов не полезу на неё :) - а percona-xtradb вроде бы не плохо себя показывает.
Буду читать... в NDB меня смутила одна штука , не знаю пока как тут реализовано, но все же:
Как собрать 10 серверов и настроить их к менеджмент ноде... все понятно, вопрос в том, как обеспечить отказоустойчивость этой менеджмент ноды, ведь она получается одна и фактически от нее зависит кластеризация, а если она упала? кто потом разберется как должны быть данные, где новые, где старые, при беседе с тем же Андрейкой, он упоминал о конструкции с двумя менеджмент нодами, но как-то я или не понял или не нашел где читать, две менеджмент ноды могут друг друга дублировать в случае падения? Т.е на API концах можно указать 2 менеджмент ноды и оно там само определится к какой подключится если одна мертва?
---------- Добавлено 17.07.2013 в 13:40 ----------
Но у вас же там, судя по другим размышлениям, объемы базы небольшие.
С этим ничего подозрительного - все описано. Слишком упрощенный и пессимистический подход. И автора уже забанили.
Там есть скрипт подсчитывающий по текущей базе, сколько понадобится памяти в NDB. Причем, неидексированные колонки таки можно хранить на диске.
Верно, данных не много там и 100 метров наверное не наберется... но это как бы не совсем меняет суть, хочется знать будущее :D :D :D как обычно :) По этому и хочется понимать к чему идем... а то сегодня 100 метров завтра 100 гиг, а решение уже не подойдет выходит....
Вы просто указали в стартпосте CP : 100, если я не ошибаюсь.
Для меня данное значение не имеет смысла, мы не ограничиваем пользователей по ЦП на шаредах.
Более того не могу найти, в чем измеряется это CP, может кто-то из хостеров оперирующих данным ограничением сможет прояснить?
Поддерживаю, тоже хочется знать в чем считается CP, если не ошибаюсь этот параметр у ISP появился. В нашем случае так же лимитов на CPU нет.
ТС, но есть одно НО, вы говорите о каком-то Вип тарифе за 20$ , а про сайт я ничего не увидел конкретного, сколько уникальных в сутки ? какой трафик ? сколько места кушает сайт? какой контент ? какой тип контента ? Или это все не важно, типа дайте 100 CP и трава не расти :D ?
Мне просто нужны конкретные ссылки! вот вы каким хостингом пользуетесь?
Насчет яблок согласен! Но где бы яне был я всегда могу знать сорт яблок и покупать проверенное так же и про хостинг! Я хотел понять какая фирма является лидером рынка!
Хостингом я пользуюсь своим :D Но не обращайте на это внимание :D
Беда в том, что вы фундаментально ошибаетесь в своем суждении, яблоки вы действительно можете попробовать и где угодно знать как они выглядят, а вот с хостингом фигушки ))) вы можете купить его у TOP #1 провайдера и через 2 дня прибежать сюда в расстроенных чувствах ;)
galera - и будет тебе счастье, правда почитай сразу ограничения, что-бы ты в них не влез.
А можно в двух словах разницу от NDB? Я читал о ней, понятно что ничего пока не понятно, надо тестировать :D Но как в личной беседе мне сказал Андрейка, там весьма подозрительная штука с использованием памяти... (я про NDB), говорит что если например ваша база 15 GB то каждая нода должна иметь минимум x2 памяти, т.е по 30 G в каждой... как-то так, не то что бы это меня сильно расстроило.... но все же... :)
Да уж, что тут обсуждать, интересно что бы ТС сказал если бы тикет был про то, как у него перестал работать его любимый закодированный скрипт после обновления ioncube по просьбе другого пользователя :D Кстати, я вообще например при suPHP Не вижу проблем использовать внутри своего окружения свой Loader... по моему это вполне возможно....
ИМХО Я бы сбежал от хостера, который бы из-за первого встречного клиента ПО сервера менял.
Тут тоже не совсем логично, иногда надо проводить апгрейды, как пишут и ввиду безопасности и ввиду новых версий, но это вовсе не означает что хостеры должны сидеть на сайте ioncube (В данном случае) и мониторить их версии, после чего бежать и обновляться.... К тому же действительно не ясно, будут ли работать другие продукты которые работают с текущей версией после обновления... А так конечно "обновите мне апачик" на виртуальном хостинге - как минимум смешно :D