[Giải thích] Video Hacker phịt Bkav ak bê cạp

[Nong_dan]

Chào ae... Ngày hôm qua hacker đã public video lỗi của Bkav's VPN server cho mọi người hiểu rõ đẳng cấp bảo mật của bê cạp... Nhưng có lẽ nhiều ae ko hiểu... Nên mềnh tạm múa rìu qua mắt thợ giải thích cho ae đồng dâm, để nếu sau này có chém gió thì nó cũng phải ra ngô ra khoai.

+ Bằng cách "nào đó" chunxong đã tìm ra được link vào trang quản trị Bkav's VPN server.
+ Bình thường trang nhậy cảm này sẽ chỉ định một số IP được phép truy cập... Nhưng Bê cạp tự tin để đó, ai vào cũng được vì mình đã dùng pass thần thánh rồi (phút 10:52 = chunxong đã vào dc) nên để phơi thế..
+ Nhưng vì lo quảng bá cái phone ngon hơn Iphone nên trang quản trị này dính lỗi SQL injection, một lỗi của hai chục năm về trước cái thời mà Hieupc vẫn chưa đi tù. Tới đây ae đã hiểu tại sao thằng Hacker thần thánh lặp đi lặp lại câu "what is the date today???" Nó đang cười rung trứng vì tầm bảo mật của bê cạp. Thời nay để tìm được lỗi này trên các Website thì cứ phải gọi là bạn tìm thấy vàng trên bãi cát.... Nó chả cao siêu gì mà ngược lại, nó quá hiếm vì các Coder(tôi nhắc lại coder chứ ko phải tay chuyên gia bảo mật nào nhé) luôn luôn phải bảo đảm ko có lỗi này khi đưa sản phẩm cho khách hàng.. <= Độ cẩn thận đáng tin của bê cạp = số 0 tròn chĩnh khi để server của mình dính lỗi trẻ con như thế này..
+ Chunxong đã dùng Burp Suite(trong trường hợp này ae cứ hiểu nó như một trình duyệt nhưng có thể thay đổi được nội dung gửi lên server) gửi một đoạn mã khai thác SQL injection lên server(phút thứ 11:11). Thật ra chunxong chỉ làm mầu tí thôi. Chứ cái lỗi đăng nhập ko cần password khi web bị dính sql inject này ko cần dùng đế Burp Suite. Bạn chỉ cần lên mạng search "sql injection authentication bypass" sẽ ra đoạn mã để khai thác và viết vào nơi cần đăng nhập là thành Hacker... <= vl Bê cạp về độ bảo mật.

Khi chui vào VPN của bê cạp rồi thì chunxong mới trở thành Hacker đúng nghĩa(đoạn trước khéo ai cũng làm được....). Anh ta cài cắm backdoor vào đó. Và vì Vala của bê cạp tiếc tiền ko dùng ssl (hay htttps mà các bạn nhìn trên đường link) nên chunxong có thể lấy được mọi password của thành viên bê cạp, và show ra những thứ thối ta mà họ bàn luận vs nhau như mọi người đã biết....

 

[Nong_dan]

thằng hacker đang sợ sun dái kìa @Blackberry86 ... Sao thế lực của a Nổ nhà mài vẫn chưa bắt đê, để nó đang cười rung dái kia kia ... what is the date today???

​

 

[xammer1231234]

Thằng viết trang quản lý nối chuỗi mà không check ký tự đặc biệt. Từ lâu rồi Querry SQL không được truyền trực tiếp biến vào, phải truyền riêng rẽ. Tao chưa bao giờ thích nền tảng Webs cả, trước giờ thứ gì quan trọng tao đều viết Client, Server, cũng không phải lúc nào cũng dùng SQL, những dữ liệu nhỏ sẽ tự viết Data để Save, những thứ gì tự làm luôn an toàn hơn

 

[cyberat]

tao thấy anh quảng hay đấy chứ, nhờ thằng này pr miễn phí giờ bkav nổi lên
sau đó là chúng tôi đang thử nghiệm lỗi chứ có gì đâu - xong

 

[Nong_dan]

Thằng viết trang quản lý nối chuỗi mà không check ký tự đặc biệt. Từ lâu rồi Querry SQL không được truyền trực tiếp biến vào, phải truyền riêng rẽ. Tao chưa bao giờ thích nền tảng Webs cả, trước giờ thứ gì quan trọng tao đều viết Client, Server, cũng không phải lúc nào cũng dùng SQL, những dữ liệu nhỏ sẽ tự viết Data để Save, những thứ gì tự làm luôn an toàn hơn

Mài đếu hiểu qui trình bảo mật:
1. Coder tạo phần mền..
2. Tester check phần mền
3. cách chuyên gia bảo mật sẽ tìm lỗi
<= Cái lỗi này là lỗi cơ bản nhất... Bị dính thì nhục nhất....
+ Còn chỗ In dậm = mày đếu có hiểu biết gì về Bảo mật(xin lỗi nói thẳng). Mày nghĩ 1 phần mền ko bị dính SQL Injection? Cứ cái nào liên quan tới truy vấn Database đều khai thác được hết...
+ Cái VPN có nhiều cái để lưu, ko dùng Database lại dùng file text để lưu hả thằng hâm?

 

[Nong_dan]

tao thấy anh quảng hay đấy chứ, nhờ thằng này pr miễn phí giờ bkav nổi lên
sau đó là chúng tôi đang thử nghiệm lỗi chứ có gì đâu - xong

Mài ko xem video à? Dính lỗi của chục năm trước... Nhục như gì... Thằng khắm hacker nhai đi nhai lại câu what is the date today?(hôm nay là ngay bao nhiêu) để chửi bkav mang tiếng là ANM mà lại dính lỗi sơ đẳng thế này...

 

[xammer1231234]

Mài đếu hiểu qui trình bảo mật:
1. Coder tạo phần mền..
2. Tester check phần mền
3. cách chuyên gia bảo mật sẽ tìm lỗi
<= Cái lỗi này là lỗi cơ bản nhất... Bị dính thì nhục nhất....
+ Còn chỗ In dậm = mày đếu có hiểu biết gì về Bảo mật(xin lỗi nói thẳng). Mày nghĩ 1 phần mền ko bị dính SQL Injection? Cứ cái nào liên quan tới truy vấn Database đều khai thác được hết...
+ Cái VPN có nhiều cái để lưu, ko dùng Database lại dùng file text để lưu hả thằng hâm?

Viết Client Server bằng TCP/IP, Server truy cập DataBase, Hack bằng mắt

 

[Bà già bán gạo]

Tóm tắt là ghé tai nói thần chú OR 1=1 và cô gái tự động tụt xilip cho bạn địt trần thoải mái!

 

[crytekckduy]

Thanks mày đã viết bài truyền cảm hứng như vầy, tao cũng phải viết một bài up Facebook đây.
Há há.
Tao lại thấy hạnh phúc khi bọn Bê cáp đau khổ.

 

[saxvai]

Tao là lập trình viên đây. Khi tao nhìn xem video thì tao đéo thể tin vào mắt mình được.
Tao có cùng suy nghĩ như thằng hacker. Tao có phải quay về thời tối cổ không khi mà sql injection còn sài được.
"Thật tuyệt vời! Đéo thể tin nỗi"

 

[Kent69]

Đkm, hoá ra ổ xam này lắm chiên za IT vl ra, bố đéo hiểu j cả

 

[minh2000]

đơn giản thế này nhé. mật khẩu của mày là abcd1234 đi, thì phần mềm trong code nó sẽ có dòng so sánh như sau
NẾU mật khẩu gõ vào là "1234" thì mở cửa
sau khi thêm cái or "1" = "1" vào trong đoạn mk thì câu lệnh sẽ là
NẾU mật khẩu là "1234" hoặc "1" = "1" thì mở cửa
như vậy thằng hacker đã biến 1 điều kiện duy nhất thành : chỉ cần thỏa mãn 1 trong 2 đk là được vào
lúc này nó điền mk gì vào cũng được vì "1" = "1" là luôn đúng rồi
-----------
ví dụ dễ hiểu hơn: cửa nhà WC Nam ghi: chỉ được vào nếu bạn là NAM
thằng mất dạy nào đó viết thêm chữ HOẶC 1 = 1
như vậy dòng chữ sẽ là: chỉ được vào nếu bạn là NAM hoặc 1=1
lúc này ai cũng vào được

 

[fireEyes]

Mài đếu hiểu qui trình bảo mật:
1. Coder tạo phần mền..
2. Tester check phần mền
3. cách chuyên gia bảo mật sẽ tìm lỗi
<= Cái lỗi này là lỗi cơ bản nhất... Bị dính thì nhục nhất....
+ Còn chỗ In dậm = mày đếu có hiểu biết gì về Bảo mật(xin lỗi nói thẳng). Mày nghĩ 1 phần mền ko bị dính SQL Injection? Cứ cái nào liên quan tới truy vấn Database đều khai thác được hết...
+ Cái VPN có nhiều cái để lưu, ko dùng Database lại dùng file text để lưu hả thằng hâm?

Mày nên ngững chém gió được rồi đó. Bản thân cái VPN là gì mày không nắm rõ nên thôi tao tạm bỏ qua.

Có rất nhiều thứ trong 1 hệ thống phần mềm dùng config file để lưu, về bản chất thì nó vẫn là file text thôi. Thằng kia nó cũng có cái lý của nó

Cái 1, 2, 3 của mày tao chả hiểu mày đào cái qui trình "bảo mật" ấy từ đâu ra, vì bọn tao éo ai làm thế cả.

 

[fireEyes]

Chào ae... Ngày hôm qua hacker đã public video lỗi của Bkav's VPN server cho mọi người hiểu rõ đẳng cấp bảo mật của bê cạp... Nhưng có lẽ nhiều ae ko hiểu... Nên mềnh tạm múa rìu qua mắt thợ giải thích cho ae đồng dâm, để nếu sau này có chém gió thì nó cũng phải ra ngô ra khoai.

+ Bằng cách "nào đó" chunxong đã tìm ra được link vào trang quản trị Bkav's VPN server.
+ Bình thường trang nhậy cảm này sẽ chỉ định một số IP được phép truy cập... Nhưng Bê cạp tự tin để đó, ai vào cũng được vì mình đã dùng pass thần thánh rồi (phút 10:52 = chunxong đã vào dc) nên để phơi thế..
+ Nhưng vì lo quảng bá cái phone ngon hơn Iphone nên trang quản trị này dính lỗi SQL injection, một lỗi của hai chục năm về trước cái thời mà Hieupc vẫn chưa đi tù. Tới đây ae đã hiểu tại sao thằng Hacker thần thánh lặp đi lặp lại câu "what is the date today???" Nó đang cười rung trứng vì tầm bảo mật của bê cạp. Thời nay để tìm được lỗi này trên các Website thì cứ phải gọi là bạn tìm thấy vàng trên bãi cát.... Nó chả cao siêu gì mà ngược lại, nó quá hiếm vì các Coder(tôi nhắc lại coder chứ ko phải tay chuyên gia bảo mật nào nhé) luôn luôn phải bảo đảm ko có lỗi này khi đưa sản phẩm cho khách hàng.. <= Độ cẩn thận đáng tin của bê cạp = số 0 tròn chĩnh khi để server của mình dính lỗi trẻ con như thế này..
+ Chunxong đã dùng Burp Suite(trong trường hợp này ae cứ hiểu nó như một trình duyệt nhưng có thể thay đổi được nội dung gửi lên server) gửi một đoạn mã khai thác SQL injection lên server(phút thứ 11:11). Thật ra chunxong chỉ làm mầu tí thôi. Chứ cái lỗi đăng nhập ko cần password khi web bị dính sql inject này ko cần dùng đế Burp Suite. Bạn chỉ cần lên mạng search "sql injection authentication bypass" sẽ ra đoạn mã để khai thác và viết vào nơi cần đăng nhập là thành Hacker... <= vl Bê cạp về độ bảo mật.

Khi chui vào VPN của bê cạp rồi thì chunxong mới trở thành Hacker đúng nghĩa(đoạn trước khéo ai cũng làm được....). Anh ta cài cắm backdoor vào đó. Và vì Vala của bê cạp tiếc tiền ko dùng ssl (hay htttps mà các bạn nhìn trên đường link) nên chunxong có thể lấy được mọi password của thành viên bê cạp, và show ra những thứ thối ta mà họ bàn luận vs nhau như mọi người đã biết....

Cám ơn tml đã đưa video lên, sau khi xem hết video, tao đã hình dung sơ sơ được thằng hacker này là thằng như thế nào rồi

 

[fireEyes]

Viết Client Server bằng TCP/IP, Server truy cập DataBase, Hack bằng mắt

Tml này phát biểu thiếu kiến thức chuyên môn quá.
Về bản chất, web cũng là 1 hình thức dạng client - server mà mày nói thôi. Cái mà mày vẫn nghĩ là dạng desktop app, và cái còn lại thì người ta đơn giản gọi là web-based.

Nguy cơ lỗi SQL Injection trong cái câu của mày vừa phát biểu vẫn y nguyên như mày viết trên nền web thôi. Vẫn cái code thối hoắc trên nền web form đó, mày chuyển về desktop app thì bug vẫn còn đấy thôi, do mày không thay đổi logic xử lý trong code/

Thằng viết trang quản lý nối chuỗi mà không check ký tự đặc biệt. Từ lâu rồi Querry SQL không được truyền trực tiếp biến vào,

Trong cái phát biểu lúc trước của mày tao chỉ đồng ý cái này thôi. mà ý chính xác phải diễn đạt là:
1 - phải check các ký tự đặc biệt khi xử lý các câu truy vấn.
2 - không được truyền thẳng câu truy vấn dạng chuỗi xuống dưới DB, mà phải truyền thông qua command và query parameters

 

[koyla09]

Hack máu lz. Có thằng tuần ra.

 

[Tranthanhtung]

Noi tóm lại công ty này là sân sau của đảng búa liềm đung ko chung may

 

[fireEyes]

Hack máu lz. Có thằng tuần ra.

Có thằng tuồn ra thì cũng gọi là hack mà mày. thằng tuồn ra sẽ được gọi là "trojan", phương tiện tuồn ra sẽ được gọi là "backdoor"

 

[fireEyes]

Noi tóm lại công ty này là sân sau của đảng búa liềm đung ko chung may

Không, tao không nghĩ vậy. Băng búa liềm có đội ngũ tác chiến điện tử chuyên biệt, BKAV là của tụi bán khoai hà nội

 

[koyla09]

Có thằng tuồn ra thì cũng gọi là hack mà mày. thằng tuồn ra sẽ được gọi là "trojan", phương tiện tuồn ra sẽ được gọi là "backdoor"

Nói phét ít thôi

 

[xammer1231234]

Tml này phát biểu thiếu kiến thức chuyên môn quá.
Về bản chất, web cũng là 1 hình thức dạng client - server mà mày nói thôi. Cái mà mày vẫn nghĩ là dạng desktop app, và cái còn lại thì người ta đơn giản gọi là web-base.

Nguy cơ lỗi SQL Injection trong cái câu của mày vừa phát biểu vẫn y nguyên như mày viết trên nền web thôi. Vẫn cái code thối hoắc trên nền web form đó, mày chuyển về desktop app thì bug vẫn còn đấy thôi, do mày không thay đổi logic xử lý trong code/

Trong cái phát biểu lúc trước của mày tao chỉ đồng ý cái này thôi. mà ý chính xác phải diễn đạt là:
1 - phải check các ký tự đặc biệt khi xử lý các câu truy vấn.
2 - không được truyền thẳng câu truy vấn dạng chuỗi xuống dưới DB, mà phải truyền thông qua command và query parameters

À, tao không nói dùng nền Web, những thứ quan trọng tao toàn tự viết từ A-Z, sẽ có 2 phần mềm 1 là Client để truy cập đến Server và hiển thị thông tin, 2 là Server để nhận Paket là truy cập DataBase, những dữ liệu quan trọng dung lượng thấp tao tự viết cấu trúc cả, không có chuyện dùng SQL, khi phải dùng SQL thì phải Offline SQL, làm như vậy sẽ không lo hack bằng bất kỳ kỹ thuật nào, cái Inject SQL chỉ là lông gà vỏ tỏi thôi. Mấy thứ này tao làm từ hơn 10 năm trước rồi, cơ bản chấp hết mọi thể loại Hacker. Còn nền Web không an toàn chút nào, có rất nhiều lỗi chỉ vài thằng Pro mới biết, chúng nó dữ làm của riêng, sẽ không bao giờ đến được tay hãng phát triển nền tảng mà Fix.

 

[thebestofmilano]

Đéo hiểu mà nghe tụi mày phân tích thấy thú vị nhỉ

 

[fireEyes]

À, tao không nói dùng nền Web, những thứ quan trọng tao toàn tự viết từ A-Z, sẽ có 2 phần mềm 1 là Client để truy cập đến Server và hiển thị thông tin, 2 là Server để nhận Paket là truy cập Database. Mấy thứ này tao làm từ hơn 10 năm trước rồi, cơ bản chấp hết mọi thể loại Hacker. Còn nền Web không an toàn chút nào, có rất nhiều lỗi chỉ vài thằng Pro mới biết, chúng nó dữ làm của riêng, sẽ không bao giờ đến được tay hãng phát triển nền tảng mà Fix

Mày nói như Lồn ấy.

Client với server của mày thì khác đéo gì front-end với back-end server của web-based, trong khi về bản chất thằng back-end server của mày cũng chỉ là 1 server xử lý logics và làm việc với Database.

Cái form login của mày, với việc mày nhập Uid với pwd, thì khác Lồn gì cái trang login page, cũng nhập UI với pwd, khi mày viết cùng 1 logic.

chưa kể, client của mày viết không khéo có thể còn bị dịch ngược code.

Chân thành khuyên mày 1 câu: cập nhật thêm công nghệ đi, đi code 10 năm mà phát biểu như mày thì trong 5 năm tới sẽ bị tụi nhỏ nó đào thải, trừ khi mày đéo code nữa mà chuyển sang làm quản lý, hoặc chuyển về 1 môi trường nào đó ít tính cạnh tranh hơn.

 

[xammer1231234]

Mày nói như lồn ấy.

Client với server của mày thì khác đéo gì front-end với back-end server của web-based, trong khi về bản chất thằng back-end server của mày cũng chỉ là 1 server xử lý logics và làm việc với Database.

Cái form login của mày, với việc mày nhập Uid với pwd, thì khác lồn gì cái trang login page, cũng nhập UI với pwd, khi mày viết cùng 1 logic.

chưa kể, client của mày viết không khéo có thể còn bị dịch ngược code.

Chân thành khuyên mày 1 câu: cập nhật thêm công nghệ đi, đi code 10 năm mà phát biểu như mày thì trong 5 năm tới sẽ bị tụi nhỏ nó đào thải, trừ khi mày đéo code nữa mà chuyển sang làm quản lý, hoặc chuyển về 1 môi trường nào đó ít tính cạnh tranh hơn.

Client dịch ngược làm gì, có cái gì ở đó đâu mà lấy, mọi thứ trên Server nhé. Mấy thứ có thế nhập vào nếu thích an toàn hơn tự viết cấu trúc Data, cần gì phải SQL. Giờ để cho mày dễ hình dung nó cấu trúc giống như mấy Game Online mày chơi đó. Cái inject SQL chỉ là lông gà vỏ tỏi thôi, cái tao nói là chấp hết mọi thể loại Hack

 

[fireEyes]

Client dịch ngược làm gì, có cái gì ở đó đâu mà lấy, mọi thứ trên Server nhé. Giờ để cho mày dễ hình dung nó cấu trúc giống như mấy Game Online mày chơi đó.

Chán đéo nói với tml nữa.
Không phải khi không công nghệ dịch chuyển các hệ thống lớn từ desktop app sang bên web-based đâu.

Như dạng game online mày nói, mày chơi quả man in the middle, hoặc dùng packet tracer, black shark là mày vẫn bắt được gói tin giao nhận giữa client vs server mà.

Mày giải thích giùm tao sự khác nhau cơ bản giữa desktop app và web-based 1 xíu, cái ưu điểm và nhược điểm của từng bên. Khi mày nhìn vào cái bảng so sánh đấy thì mày sẽ thấy nền tảng phát triển phần mềm ở đây nó éo đóng cái vai trò méo gì trong bảo mật cả.

Ở mức độ lập trình viết phần mềm (tao không bàn đến bảo mật cho cả hệ thống), với cả desktop app lẫn web-based , bảo mật ở đây là câu chuyện mã hóa dữ liệu, phân quyền, chống sql injection và xss, chống rò rỉ dữ liệu nhạy cảm.

mấy cái tao đề cập ở trên thì tao tin là tml mày code đến 10 năm rồi thì mày làm tốt, thậm chí rất tốt. Mày làm tốt ở trên desktop rồi thì mày vác sang bên web nó cũng thế thôi, không khác nhau đâu.