• XSS.stack #1 – первый литературный журнал от юзеров форума

Ботнеты для брута CMS

Отслеживать
Quake3

Quake3

TPU unit
Забанен
Регистрация
03.11.2010
Сообщения
4 529
Решения
4
Реакции
5 305
Депозит
0.046
Пожалуйста, обратите внимание, что пользователь заблокирован
Около недели-полторы назад клиенты многих крупных ру-хостеров (а может и не только ру) получили рассылку вида:

ВНИМАНИЕ! Владельцам сайтов на CMS WorsPress и Joomla!!!

В настоящий момент на многие сайты пространства сети Интернет  идёт массовая атака,  направленная на подбор паролей к CMS WordPress и Joomla. Подбор осуществляется через форму входа на странице wp-login.php и administrator/index.php соответственно.

Последние 30 часов нашим специалистам удавалось сдерживать атаку  с переменным успехом. Но сейчас нагрузка на серверы подходит к критической, вследствие чего на некоторых головных машинах начали наблюдаться отказы в обслуживании.

/вырезана всякая ерунда про настройку апача

Подробнее  об инциденте можно узнать в обсуждении на форуме:  __http://forum.searchengines.ru/showthread.php?t=805626

Немного погуглив, я понял что речь идет о неком "Trojan.WPCracker.1".

Собственно, интересно ваше мнение о данной идее. Около года назад у меня была мысль накодить подобное, даже лежит заготовка для вордпресс. Но потом передумал, так как в данной реализации есть две проблемы:
- стоимость и живучесть загрузок. Даже если покупать гуаномикс, все равно денег идет немало.

- синхронизация. Как сделать, чтобы каждый бот брутил по индивидуальным словарям, а не так, что 50 ботов брутят одни и теже пароли. Это не так просто, если учесть что машины загрузок могут выключатся или бот может вовсе умереть от авера.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
12309
Так вот как грамотно распределять диапазон? Это не так просто, как кажется на первый взгляд, типа дай одному a-b, второму b-c и так далее. Надо чтобы бот раз в N времени отстукивал, куда он добрался уже + вести учет непробрученных диапазонов (типа брутил бот n--m, дошел там до чего-то и пропал с радаров).
 
Видимо когда начинаешь кодить такое и есть стимул, алгос вырисовывается.
В черновом виде как то так:
1. бот получает задание по какому диапазону брутить в админке
2. второй бот получает диапазон выше чем первый
3. первый бот выполняет задание пока что-то не пойдет ни так, каждые n времени шлем текущий результат, для разгрузки сервера может быть самый банальный и простой формат, вводим тайм аут, если за n времени бот не стучит, смотрим последние поддиапазоны в диапазоне и отдаем их третему боту

скорее всего пунктов много больше, но в целом как то так...
 
1. Собрал юзеров блога или нашел админа.
2. Когда брутили один блог, заметил что применяли "чихарду".
По логам каждый бот брутил куском комбинации по 150 каждый, а брутило меня тазиков 10, то есть выходит когда первый закончит он получит 1500-1650, хотя если раньше его закончит один из 10 ботов то не факт ;), так что нумерация и последовать получения паролей чисто номинальная.
квака ты по что пост то мой потер???
 
так как в данной реализации есть две проблемы:
- стоимость и живучесть загрузок. Даже если покупать гуаномикс, все равно денег идет немало.
Это не проблема, можно найти спонсора.
Я например готов бы вложиться за такой стабильный софт, + помог бы в реализации.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
BlaIzEr
Так а в чем преимущество такого софта перед брутом с тех же шеллов или своих серваков? Лоады окупаются ? Накодить такое можно, но вопрос в целесообразности, учитывая живучесть лоадов последнее время (с этими еб****ми облаками и прочим).
 
Так а в чем преимущество такого софта перед брутом с тех же шеллов или своих серваков? Лоады окупаются ? Накодить такое можно, но вопрос в целесообразности, учитывая живучесть лоадов последнее время (с этими еб****ми облаками и прочим).
Имея хотябы 1к ботов, с поддержкой прокси при бруте, можно брутить 20-30к.pass\сек (так же цифры не точные, смотря как реализовать брут) а с такой мощностью можно сбрутить очень большое количество ресурсов причем салидных,но есть одно большое НО, могут наблюдатся отказы в обслуживании сайта, следом брутить стоит только большие сайты,как результат потом сидеть и продавать траф, или напрямую на свою связку(так же еще много вариантов, смотря какая тематика сайта), сейчас современем растет дифицит трафика , хуже загрузок, это тема была бы акутально и востребована.
Я вообще обсуждаю винбот, на счет работы на шеллах, профита большого не будет.
 
использовать только окна бота клиенту ? почему бы вам не использовать Linux бот для грубой реальной лучше, чем клиентское окно :thumbsup:
 
Пожалуйста, обратите внимание, что пользователь заблокирован
dCarnage
Linux бот для грубой реальной лучше, чем клиентское окно
Под Windows пока еще есть загрузки, под Linux их нет.

BlaIzEr
Да, тут дилемма. Большое к-тво ботов этими post запросами вполне может заддосить ресурс, а небольшое к-тво ботов/потоков бессмысленно (в 1 поток можно и с пхп шелла брутить).
 
не актуально это уже , на уровне .htaccess /стоит авторизация!


многие хостеры уже принудительно заставили ставить .hta или менять путь формы авторизаци!

по опыту знается и уже тема свое отжила

\\ как всегда палят темы жадные школьники :angry:
 
на уровне .htaccess /стоит авторизация!
это не значит что её нельзя брутить тоже...

менять путь формы авторизаци!
на каждую хитрую жопу найдется х*й с винтом. правда потом в дело идут лабиринты...
 
не актуально это уже , на уровне .htaccess /стоит авторизация!

в таком случае иногда даже проще брутить

менять путь формы авторизаци!

ага и все равно его прописывать в Disallow файла robots.txt :D это сделают 99% процентов пользователей, а тот процент который не сделает, можно будет найти в гугле :D
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх