danforth

danforth
Рейтинг
153
Регистрация
18.12.2015

Как-то так


SELECT `id` -- или любые другие строки
FROM `dle_post`
WHERE `alt_name` IN (
SELECT `alt_name`
FROM `dle_post`
GROUP BY `alt_name`
HAVING COUNT(*) > 1
)

Вы не поверите, но когда я владел магазином, у меня был доступ к двум своим конкурентам. Первый был взломан где-то за 30 минут пен-теста под пиво вечером. Второй сам нанял меня как программиста, не зная что я ещё владею бизнесом и я его конкурент. Первый до сих пор так и не закрыл дыру (они про неё не знают даже), со вторым мы поругались когда правда всплыла, хотя уже тогда я забил на свой бизнес так как он больше отнимал времени, чем приносил дохода, хотя человек был интересен и я в открытую ему двигал самые лучшие штуки (перенес их с говнохостинга, делал на совесть, предлагал улучшения, да и вообще с человеком разделяли одинаковые ценности). Кстати, первый конкурент (с дыркой на сайте) оказался очень гнилым, это я понял когда увидел количество негативных отзывов, и форму для публикации липовых отзывов в карточке с товаром, но заказов у них было около 30-40 в день (это пик в моей нише). Второй конкурент продавал на порядок хуже, максимум 10 заказов в день, но с отзывами работали так, будто каждый клиент должен уйти довольным. Это к вопросу о карме и балансе сил в этом мире.

Я бы посоветовал вам:

сначала:

  • включить максимально-информативное логгирование
    • веб-сервера (все HTTP методы) - и грепать самые длинные строки, на поиск SQL инъекций, а также сделать выборку всех IP которые ходят к бекенду
    • ssh - если это хостинг с поддержкой - спросить логи у них, если это VPS - настроить самому и мониторить
    • настроить CSP, с учетом report-uri/report-to на какой-то URL, на этом урле должен быть код который пишет пост запросы в файл
  • просканировать на шеллы и эксплойты

После чего:

  • если это VPS, оставить наружу торчащим только 80/443 порт и для ssh port-knocking/аутентификацию по ключам.
  • сменить куки, сменить все пароли у всех менеджеров (отдельно стоит сходить в базу и поискать у кого может стоять чекбокс is_root = 1, условно, может отличаться)
  • если у движка есть API - сбросьте все токены, по API можно тягать заказы. К слову в одном очень популярном движке интернет-магазина после установки у рутового аккаунта создается ключ АПИ, который не меняется и актуален на протяжении всей жизни магазина :) Если кто-то посмотрел этот ключ, он может ходить в базу до бесконечности, и нет даже кнопки в админке чтобы сбросить или сгенерировать новый

Почему сначала/после? Потому что сначала вы можете поймать на горячем, после - закрыть дырку и прекратить безобразие.

Я не сторонник верить в совпадения, особенно учитывая что несколько раз подбирал пароль с первой попытки (в основном от Wi-Fi), поэтому ищите либо слабые пароли менеджеров либо дырку в сайте.

neoks:
P.S: Дополнительный диск можно заказать только на START1-S и выше.

А, да, вижу, START1-XS constraint : Total volume size is 25GB (Currently : 25GB)

Когда-то брал у них инстанс, правда за 5 евро, и ради переливки данных. Вроде бы все ок было, никаких косяков не было. Да, медленные ЦПУ, да медленный диск, но что написано - то и выдали. В этот раз я в общем-то тоже ожидал получить то что написано, мне даже NVMe те не впали.

Подожду пока их lvl2 саппорт ответит, интересно получу ли я обещанное, или так и будут буцать меня до lvl80 саппорта.

Я сейчас тоже сижу на крысе, настроил хоткеи чтобы резать монитор на части. Вроде удобно, но иногда нужно порезать на 2/3 1/3. А крыса так не умеет. Задумался о тайловом VM. Когда-то тоже пытался в виртуалке, но было очень мало времени на адаптацию и плюнул на это дело.

Stek, лажа, причем систематическая. Я бы понял что на одном инстансе что-то пошло не так. Но тут уже два создал, и одна и та же проблема. Посмотрим что ответит саппорт, сказали позовут команду 2 уровня, чтобы это ни значило.

Stek:
Маркетинг и новомодная борьба за безопасность. Вполне нормально для низкой цены, надо приспосабливаться.

Я и не против аутентификации по ключу, сам всегда её использую и отключаю по логину и паролю. Проблема в том, что они дают создать инстанс без ключа, в который потом невозможно попасть, вместо того чтобы показать какой-то месседж с ошибкой, или вообще сделать валидацию формы.

Stek:
"df -h" что показывает ?

Filesystem      Size  Used Avail Use% Mounted on

/dev/vda1 9.0G 709M 7.8G 9% /
devtmpfs 488M 0 488M 0% /dev
tmpfs 495M 0 495M 0% /dev/shm
tmpfs 495M 13M 482M 3% /run
tmpfs 495M 0 495M 0% /sys/fs/cgroup
/dev/vda15 99M 3.7M 95M 4% /boot/efi
tmpfs 99M 0 99M 0% /run/user/0

$ lsblk

NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT
vda 253:0 0 23.3G 0 disk
├─vda1 253:1 0 9.2G 0 part /
└─vda15 253:15 0 100M 0 part /boot/efi

Glueon, hugo это генератор статического контента, где-то как grav, jekyll, hakyll и прочее.

Ghost

............

SPA и так индексируются гуглом, и без SSR, может чуть медленнее, но тем не менее.

Всего: 1540