- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
Т.е. наполнение таблицы T005 будет таким:
T001F01 | T005F01 | ....
------------------------
702 | 1 | ....
702 | 2 | ....
.............................
703 | 1 | ....
703 | 2 | ....-
SQL / Говнокод #16051
−117
Из почтовой переписки, слитой со взломанного ЦВК Украины.
Ну вот что это за привычка такая, в гос. конторах - шифровать название таблиц и полей?
А на аппликейшн уровне давать вменяемые имена.
Уже не в первый раз встречаю - бугурт вызывает нереальный.
Кто-то может назвать хоть один бенефит такого подхода? Чтобы враг не догадался?Запостил:
DBdev,
24 Мая 2014
Follow us!
Но традиция, видно, знатная на территории всего экс-совка.
http://cyber-berkut.org/
Тут ещё немного разбора:
http://ntv.livejournal.com/354389.html
Где я взял структуру БД?
Переходите сюда: http://cyber-berkut.org/
Находите ссылку на "emails1.7z", качаете.
Открываете читалкой pst какой Вам нравится.
Среди писем ищете мои ГК.
Юзеров (там бложик ругается на плейн текст), видимо, заводили пакетно по входящим от заказчика экселевским таблицам - это не значит, что в самой системе они хранятся в плейн тексте. Как и файлик паролей к серверам - есть исполнитель, который выполнил свою работу, настроил сервера и отдал пароли заказчику. А дальше крутитесь как хотите.
А вот насчет имен таблиц - подозреваю, что ты читаешь уже обфусцированный вариант, полученный из нормального, с человеческими именами. Потому и когнитивный диссонанс, что не поддерживаемое говно, но с неопровержимыми признаками, что писал не робот.
p.s. надо бы взять на заметку, поизучать текущие техники обфускации и тоже применить, на всякий
Это я не отрицаю. Даже добавлю, что сетевая инфраструктура тоже неплохо организована.
> Юзеров (там бложик ругается на плейн текст), видимо, заводили пакетно по входящим от заказчика экселевским таблицам - это не значит, что в самой системе они хранятся в плейн тексте. Как и файлик паролей к серверам - есть исполнитель, который выполнил свою работу, настроил сервера и отдал пароли заказчику. А дальше крутитесь как хотите.
Ну.... тут нам явно не известно, НО я не исключаю, что логины с паролями МОГЛИ храниться открыто в плейн текстовиках. Тут уж админы недоработали.
> А вот насчет имен таблиц - подозреваю, что ты читаешь уже обфусцированный вариант, полученный из нормального, с человеческими именами. Потому и когнитивный диссонанс, что не поддерживаемое говно, но с неопровержимыми признаками, что писал не робот.
Ну я какбэ достал структуру из переписки. Т.е. разработчики и мейнтейнеры не переписываются вменяемыми именами сущностей в БД, а вот такими "обфусцированными" именами, что наталкивает на мысль - база просто такая вот и есть.
> p.s. надо бы взять на заметку, поизучать текущие техники обфускации и тоже применить, на всякий
Бенефит в чём? Такой же как и у кодообфускации?
да палка о двух концах
+: усложнить жизнь школохаккерам, да и экономному на сопровождении заказчику; защита прав на код
-: может вылиться в негатив того самого заказчика, который признает в купленной системе неинтегрируемое, нерасширяемое и неуправляемое им говно; самому добавляется геморрой, разве что если уже все решено до нас, остается только кнопочку нажать
если что - я лениво погуглил, обфускация/маскирование/шифрование/fine control данных и кода хранимых процедур в оракле находится, но чтобы автоматом имена таблиц и колонок убивать - пока что то нет
lal
И, скорее всего, 4490 из них годятся только на пушечное мясо для DDoS'а.
Я нифига не юрист, но, скорее всего, если найдут и докажут добровольность, то припишут вот это:
Статья 273 УК РФ. Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации.
Да хрен его знает, пробовать на себе как-то не хочется ;)
Если админ напишет заявление - то пробить людей по айпишникам вообще не проблема.
Так что если чел настолько упоротый долбоёб, что ломал что-то серьезное в своей стране (особенно госконтору) со своей машины через свой инет, написал об этом в своем бложике, да еще и забыл стереть тулзы - есть ненулевая вероятность залететь.
P.S. Там, кстати, во втором параграфе статьи есть ветка про "то же деяние, совершенное группой лиц" (а ддос как раз и совершается группой лиц).
Имхо, очень маловероятно. Если в ботнете десятки тысяч юзеров - это явно не толпа малолетних мудаков с loic'ом. И искать среди них тупо некого, там 99.99% окажутся невинными жертвы вирей (а остальные ими прикинутся).
Ну а если человек 30-50 решат поддосить сайтец какого-нибудь ФСБ - может и залетят на описанную выше статейку :) Если ищущим не влом будет ордера выбивать. И еще есть вероятность, что никто к кому не придет, зато на СОРМ'е эти айпишки поставят на мониторинг, и юные кулхацкеры залетят на чем-то еще.
А что будет с динамическими ip / провайдерским рашконатом?
А где по-твоему СОРМ установлен? :)
Ну так это ж не провайдер. Если СОРМ вдруг понадобится - навесят у провайдера на весь айпишник этой говносетки. А придут потом к хозяину айпишника, который эту сетку друзяшкам раздал. И он с радостью перечислит их всех, а заодно расскажет, кто из них больше всего похож на хакера ;)
Но там вполне может быть нат. И поставить его "на мониторинг" много не даст.
Может это просто проДвинутые архитекторы? А простые кодеры потом пытаются сделать что-то вменяемое