Линк у меня лежит не в голом виде, а в base64. А то меня самого смущало, что линк лежал бы в голом виде. Вариант с комментами интересен, возьму на заметку. Смарт-контракты интересная тема, но мне пока не нужна настолько продвинутая тема
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Написал впервые стиллер
- Автор темы EthicalRichard
- Дата начала
Как бэ линк в base64 чем лучше от голого? Как по мне то одно и то же
На всякий случай) В отличии от голого линка, обывателю сразу и не понять, что это линк. Вдруг стим как раз подтирает такие акки, потому что линки лежат в голом виде
Спорить не вижу смысла. Но от каких обывателей ты линки прячешь? Тебя парень ебать будут аверы, soc-овцы и разного рода ресерчеры! Ладно, делай как знаешь, вижу от тебя пахнет профи)
Я и не хотел начинать дискуссию. Просто поведал про свою утилизацию)
Ты слишком романтично к этому ремеслу относишься. То в фарт веришь и что в куче говна (логов) именно тебе повезёт (в соседнем топике), то в то что тебя простые обыватели стима не заметят под бейсом64-м. На самом деле не всё так сказочно как ты себе это представляешь
на самом деле любая херня может случиться, я реально верю больше в рандом чем в целенаправленное чето
Хреново и правда выглядит с проф стороны ( если обращать внимание на метод доставки итд итп ), по поводу самого функционала ничего конечно сказать не могу.
Токен бота как только не шифруй его, все равно кому надо смогут расспаковать и ты останешься без логов. Тут даже зависит не от алгоритмов шифрования, даже если ты квантовый шифр реализуешь это не поможет. Уязвимое звено: отправка, ловят линки по которым стучит = получили токен бота = потеря всех логов. Второй вариант руками его достать чисто ревёрсом ( что тоже не составит никакого труда ).
Гении которые советуют заливать на ФО зип с паролем = чуть отсрочит угон логов. Определяем куда грузил логи стиллер, смотри что зип с архивом, извлекаем пароль из билда и опять логи в угоне. Ну или находим так же тг бота, через него попадаем на ФО там понимаем что архив с паролем, извлекаем пароль = угон логов. Тут как не крути) пока не будет адекватной админки ничего хорошего не выйдет, тебе по сути только ждать этого момента пока кто то не наткнётся на твой офер и не нахлобучит билд.
Я так понял, что по поводу ФО это камень в мой огород, тогда хотелось бы получить ответ, что ты имеешь ввиду "адекватная админка"? Вот у люммы была адекватная админка?) А по поводу ФО, это имелось ввиду, что куда лучше чем прямо в бота, но вовсе не панацея, а всего лишь уход от школьников, которые по мануалу парсят бота
Может это и так, что я слишком романтизирую это дело. Но всё таки я живу этим делом, и стараюсь верить в лучшее. Из всех моих проливов удались только два, да и то только один принёс денег
Ну ты себя и люмму то не ровняй))) люмма это проект который обновлялся и развивался с 22 года, я помню как он тогда ещё над старой версией своей пыхтел и постоянно то серваки под прокси менял то панельку обновлял то билд морфил/чистил. Там архитектура сети сделана иначе чем в других Стиллерах. Тебе хотя бы просто сделать свой скрипт даже на питоне который банально будет получать архив и записывать на свой сервак ( без херни типа авторизации по ФТП и прочего ) просто POST запросом хотя бы, это уже +1000% к безопасности твоих логов, а там на сервер уже и бота накидать можешь который в тг будет пересылать логи твои.
А по хорошему админка должна быть хотя бы такая:
- скрытие от посторонних глаз особенно окно логин ( у меня в проектах все привязка по ip ) только определённые айпишники могут видеть что там вообще а для всех остальных 404.
- связь билд - панель шифрованная ( любой простой шифр подойдёт даже RC4 или XOR уже что то.
- хорошая защита от ВМ и песочниц
Это уже придаст твоему стиллеру хоть какую то надёжность, а так по сути щас ты не то что логи даже, а свою жопу подставляешь, тебе и стиллер твой нахлобучить как нех делать
Ты наверное парень веселый, но дай ответ: где я себя сравнивал с люммой? С бодуна писал что-ль?
Как люмма стартовал и обосрался, а потом Ара пришел в проект с морфером я знаю и рассказывать здесь не надо. Люмма вебер, по этому и просрал первый старт.
Дальше от написанного тобой кринжануло.
Питон-скрипты, 404 и остальное. Опять рекламишь свой лодырь, это понятно - пропустим)))) Но тут разбирали минимум, а не максиму - это первое. А сам дискус в том что снесут все если понадобится. Собственно в чем и состоял мой вопрос к тебе по поводу люммы. А ты в понты и рекламу))))
Как люмма стартовал и обосрался, а потом Ара пришел в проект с морфером я знаю и рассказывать здесь не надо. Люмма вебер, по этому и просрал первый старт.
Дальше от написанного тобой кринжануло.
Питон-скрипты, 404 и остальное. Опять рекламишь свой лодырь, это понятно - пропустим)))) Но тут разбирали минимум, а не максиму - это первое. А сам дискус в том что снесут все если понадобится. Собственно в чем и состоял мой вопрос к тебе по поводу люммы. А ты в понты и рекламу))))
Этого я вообще не понял, наверно ты меня с кем-то попутал, если да то рекомендую быть внимательней.Это уже придаст твоему стиллеру хоть какую то надёжность, а так по сути щас ты не то что логи даже, а свою жопу подставляешь, тебе и стиллер твой нахлобучить как нех делать
- Автор темы
- Добавить закладку
- #54
Ну я не знал об этом то что дотнет скачана в базе
Да, перепутал, но ты тоже сгущаешь краски))) приведи мне пример из моего сообщения где реклама моего лоадера?)))) я привёл вполне эффективные методы для сокрытия панели и описал что ( хотя бы это ) должно быть в нормальной админке стиллера. Привёл в пример люмму не просто так, ты сам спросил по поводу его админки, я тебе ответил. Если тебе не нравится мой ответ сиди дальше и рассказывай свой сказки о том что если поменять тг бота на ФО то что то изменится… ну если это реальный бред, ты хоть когда то советуешь что то хотя бы думай головой своей, какая разница между ФО и токеном бота? Что то что то вскрывается с билда одинаково просто.
Конечно панецеи тут нигде нет что то что то может быть взломано, но истории с ботами и ФО ломаются кем попало ( просто поугарать кто нибудь сломает ), а админки уже ломают конкретно заинтересованные в этом люди.
Мой самый простой пример со скриптом на python в 1000 раз надёжнее твоего ФО…
А что помешает таким же способом узнать что линк на скачку архива отсылается опять в телеграм бот?) и так же получить доступ к боту…
Я просто думаю что автор явно хочет дельные советы получить тут, а не отсрочить этот самый день Х.
- Автор темы
- Добавить закладку
- #57
Прочел все дискусии и понял одно. Телеграм идёт нахуй. Скорее всего перепишу весь когда сначала(часть с отправкой) чтобы работал через сервер. Но мне уйма гайдов и научится надо что да как потому что я раньше с серверами не работал. И еще думаю о создании юзер интерфейса а не просто с терминала хочется глаза радовать тоже. Этот стиллер ничто иное как личное использование я не планирую использовать свой стиллер в коммерческих целях. Но может в будущем когда стиллер аж сам кричит чтобы его сдавали в аренду то да я подвмаю насчет этого.
На самом деле накидать простенькую панельку не особо сложно, я не знаю на чём ты пишешь бэкенд, но если только будешь входить в это ремесло то из вариантов самый простой наверное Python Flask / FastAPI, а если посложнее то php, из плюсов того и того это что их никто не достанет и не увидят исходники что не сказать про js. Ну фронт это дефолт html css, с фронтом можешь побаловаться с чатом гпт, простенький дизайн накинешь, а вот бэк всё же лучше сам пиши, а то эта машина иной раз подъебать может нехило.
своя инфраструктура конечно лучше, но если принципиально использование тг бота, то смотри в сторону шифрования отправляемого лога RSA (был, по моему, проект уже с такой реализацией),как пример, шифруя публичным ключом и расшифровывая уже у себя где-то приватным. Но все равно потребуется наладить автоматическую замену токена+chаt id и какую-то автоскачку логов из чата в случае блокировки.
лог просто запаролить можно
вопрос в токене