Так я не разработчик cms, почему я должен заниматься аудитом безопастности? тем более что-то оплачивать?
Завтра каждый второй будет ломать cms и в моей теме отписывать дай 100 баксов, а я раскажу про свою дырку?
Вопрос в том, причем здесь я? и моя тема?
Те фиксы безопасности которые выходят на офф.сайте, я сразу фичу и предупреждаю клиентов.
Пусть создает тему, типа так и так, нашел уязвимость в cms, у кого есть сайты предлагаю купить мануал.
Я не могу отвечать за уязвимость cms, вы наверное это понимаете, я разрабатываю просто сайты, и не занимаюсь аудитом безопасности, обычно этим занимаются хакеры.
Я обязательно сообщу.
Я просто хочу узнать что за уязвимость? то что какой-то файл надо удалить, помоему это пустой треп, я установлю так cms, никак он не залезет, ни по в фтп, ни через хостинг.
Пусть он сначала ответит, это доступ к админке?
Если это так, то это пытается продать паблик инфу.---------- Добавлено 14.01.2013 в 13:35 ----------
Никакой он не хакер, если речь идет о удаление файла, то он не может отличить фикс от дырки.
Почему именно мне? а не разработчикам cms например? тут многие продают сайты на этой cms.
И поверьте, не от доброты он мне хочет показать свою дырку)
Так я тут причем? есть для этого сообщество этой cms, пускай пишет админам и просит у них сто баксов.
Дак речь идет о татушках, а не кольцах.
Зря вы наехали на ТС, он во многом прав.
В данном случае Яндекс рулит рынком, и должна быть отдача, хоть минимальная.
Это сейчас наверное единственный способ угона почты.
Никто вам не даст даже 10к. давать запросов к одной почте, там не глупые админы сидят. Это вызовет сразу подозрения.
Я думаю работает это так, я немогу знать точной брут-защиты, но суть работы понимаю.
Пусть будет и тысячу ip, там важна скорость подбора.
Да и думаю как-то определяют они что вводит не человек.
Года 2 назад я экспериментировал с брутом на майл.ру, создал почту, и не подбором комбинаций паролей, а подбором уже готовых паролей, сделал список, реальный пароль поставил в самый конец, было примерно 60 паролей, он даже не дошел до конца, выкинуло. )
IP брут-бота будет заблочен, Навальского нет, все очень просто. :)
Там сидят толковые кодеры, и не думаю что при разработке брут-защиты они не учли такой нюанс.
