SELECT `id` -- или любые другие строки FROM `dle_post` WHERE `alt_name` IN ( SELECT `alt_name` FROM `dle_post` GROUP BY `alt_name` HAVING COUNT(*) > 1 )
Вы не поверите, но когда я владел магазином, у меня был доступ к двум своим конкурентам. Первый был взломан где-то за 30 минут пен-теста под пиво вечером. Второй сам нанял меня как программиста, не зная что я ещё владею бизнесом и я его конкурент. Первый до сих пор так и не закрыл дыру (они про неё не знают даже), со вторым мы поругались когда правда всплыла, хотя уже тогда я забил на свой бизнес так как он больше отнимал времени, чем приносил дохода, хотя человек был интересен и я в открытую ему двигал самые лучшие штуки (перенес их с говнохостинга, делал на совесть, предлагал улучшения, да и вообще с человеком разделяли одинаковые ценности). Кстати, первый конкурент (с дыркой на сайте) оказался очень гнилым, это я понял когда увидел количество негативных отзывов, и форму для публикации липовых отзывов в карточке с товаром, но заказов у них было около 30-40 в день (это пик в моей нише). Второй конкурент продавал на порядок хуже, максимум 10 заказов в день, но с отзывами работали так, будто каждый клиент должен уйти довольным. Это к вопросу о карме и балансе сил в этом мире.
Я бы посоветовал вам:
сначала:
включить максимально-информативное логгирование
веб-сервера (все HTTP методы) - и грепать самые длинные строки, на поиск SQL инъекций, а также сделать выборку всех IP которые ходят к бекенду
ssh - если это хостинг с поддержкой - спросить логи у них, если это VPS - настроить самому и мониторить
настроить CSP, с учетом report-uri/report-to на какой-то URL, на этом урле должен быть код который пишет пост запросы в файл
просканировать на шеллы и эксплойты
После чего:
если это VPS, оставить наружу торчащим только 80/443 порт и для ssh port-knocking/аутентификацию по ключам.
сменить куки, сменить все пароли у всех менеджеров (отдельно стоит сходить в базу и поискать у кого может стоять чекбокс is_root = 1, условно, может отличаться)
если у движка есть API - сбросьте все токены, по API можно тягать заказы. К слову в одном очень популярном движке интернет-магазина после установки у рутового аккаунта создается ключ АПИ, который не меняется и актуален на протяжении всей жизни магазина :) Если кто-то посмотрел этот ключ, он может ходить в базу до бесконечности, и нет даже кнопки в админке чтобы сбросить или сгенерировать новый
Почему сначала/после? Потому что сначала вы можете поймать на горячем, после - закрыть дырку и прекратить безобразие.
Я не сторонник верить в совпадения, особенно учитывая что несколько раз подбирал пароль с первой попытки (в основном от Wi-Fi), поэтому ищите либо слабые пароли менеджеров либо дырку в сайте.
neoks: P.S: Дополнительный диск можно заказать только на START1-S и выше.
А, да, вижу, START1-XS constraint : Total volume size is 25GB (Currently : 25GB)
Когда-то брал у них инстанс, правда за 5 евро, и ради переливки данных. Вроде бы все ок было, никаких косяков не было. Да, медленные ЦПУ, да медленный диск, но что написано - то и выдали. В этот раз я в общем-то тоже ожидал получить то что написано, мне даже NVMe те не впали.
Подожду пока их lvl2 саппорт ответит, интересно получу ли я обещанное, или так и будут буцать меня до lvl80 саппорта.
Я сейчас тоже сижу на крысе, настроил хоткеи чтобы резать монитор на части. Вроде удобно, но иногда нужно порезать на 2/3 1/3. А крыса так не умеет. Задумался о тайловом VM. Когда-то тоже пытался в виртуалке, но было очень мало времени на адаптацию и плюнул на это дело.
Stek, лажа, причем систематическая. Я бы понял что на одном инстансе что-то пошло не так. Но тут уже два создал, и одна и та же проблема. Посмотрим что ответит саппорт, сказали позовут команду 2 уровня, чтобы это ни значило.
Stek: Маркетинг и новомодная борьба за безопасность. Вполне нормально для низкой цены, надо приспосабливаться.
Я и не против аутентификации по ключу, сам всегда её использую и отключаю по логину и паролю. Проблема в том, что они дают создать инстанс без ключа, в который потом невозможно попасть, вместо того чтобы показать какой-то месседж с ошибкой, или вообще сделать валидацию формы.
Как-то так
Вы не поверите, но когда я владел магазином, у меня был доступ к двум своим конкурентам. Первый был взломан где-то за 30 минут пен-теста под пиво вечером. Второй сам нанял меня как программиста, не зная что я ещё владею бизнесом и я его конкурент. Первый до сих пор так и не закрыл дыру (они про неё не знают даже), со вторым мы поругались когда правда всплыла, хотя уже тогда я забил на свой бизнес так как он больше отнимал времени, чем приносил дохода, хотя человек был интересен и я в открытую ему двигал самые лучшие штуки (перенес их с говнохостинга, делал на совесть, предлагал улучшения, да и вообще с человеком разделяли одинаковые ценности). Кстати, первый конкурент (с дыркой на сайте) оказался очень гнилым, это я понял когда увидел количество негативных отзывов, и форму для публикации липовых отзывов в карточке с товаром, но заказов у них было около 30-40 в день (это пик в моей нише). Второй конкурент продавал на порядок хуже, максимум 10 заказов в день, но с отзывами работали так, будто каждый клиент должен уйти довольным. Это к вопросу о карме и балансе сил в этом мире.
Я бы посоветовал вам:
сначала:
После чего:
Почему сначала/после? Потому что сначала вы можете поймать на горячем, после - закрыть дырку и прекратить безобразие.
Я не сторонник верить в совпадения, особенно учитывая что несколько раз подбирал пароль с первой попытки (в основном от Wi-Fi), поэтому ищите либо слабые пароли менеджеров либо дырку в сайте.
P.S: Дополнительный диск можно заказать только на START1-S и выше.
А, да, вижу, START1-XS constraint : Total volume size is 25GB (Currently : 25GB)
Когда-то брал у них инстанс, правда за 5 евро, и ради переливки данных. Вроде бы все ок было, никаких косяков не было. Да, медленные ЦПУ, да медленный диск, но что написано - то и выдали. В этот раз я в общем-то тоже ожидал получить то что написано, мне даже NVMe те не впали.
Подожду пока их lvl2 саппорт ответит, интересно получу ли я обещанное, или так и будут буцать меня до lvl80 саппорта.
Я сейчас тоже сижу на крысе, настроил хоткеи чтобы резать монитор на части. Вроде удобно, но иногда нужно порезать на 2/3 1/3. А крыса так не умеет. Задумался о тайловом VM. Когда-то тоже пытался в виртуалке, но было очень мало времени на адаптацию и плюнул на это дело.
Stek, лажа, причем систематическая. Я бы понял что на одном инстансе что-то пошло не так. Но тут уже два создал, и одна и та же проблема. Посмотрим что ответит саппорт, сказали позовут команду 2 уровня, чтобы это ни значило.
Маркетинг и новомодная борьба за безопасность. Вполне нормально для низкой цены, надо приспосабливаться.
Я и не против аутентификации по ключу, сам всегда её использую и отключаю по логину и паролю. Проблема в том, что они дают создать инстанс без ключа, в который потом невозможно попасть, вместо того чтобы показать какой-то месседж с ошибкой, или вообще сделать валидацию формы.
"df -h" что показывает ?
Glueon, hugo это генератор статического контента, где-то как grav, jekyll, hakyll и прочее.
Ghost
............
SPA и так индексируются гуглом, и без SSR, может чуть медленнее, но тем не менее.