Конкурс: Тур#1 Взлом PHP-скриптов

[confguru]

Конкурс: Тур№1 Взлом PHP-скриптов

Конкурс: Взлом PHP-скриптов

Необходимо запустить на своем сервере закодированный скрипт..
http://www.phpclub.net/vdl/

Начало дискуссии здесь..
http://phpclub.net/talk/showthread.php?s=&threadid=32824&rand=8


Zend дизассемблер можно найти тут

http://www.derickrethans.nl/vld.php

 

[GL]

непонятно
а где срц?=)
http://www.phpclub.net/vdl/hack_me_source.php

 

[GL]

туплю)
извините

 

[confguru]

Запаковал в zip. Чтоб у всех скачивалось....

 

[_RVK_]

Нет ещё одного варианта ответа "Нет, нет времени..."

 

[confguru]

Уже есть.. голосуй...

 

[Alex Wanderer]

Еще вариант:
Да, но времени таки нет

 

[4yBa4eK]

Попытаюсь, а до какого числа, подождите чуток=))

 

[Scarab]

IMHO гораздо более интересно и полезно не тыкаться во все места, в надежде, что где-то сломается - а учиться проводить грамотный security audit с открытым кодом. И поучительнее - найдя дырку в чужом коде, ты уже точно не допустишь такой ошибки сам (сработает механизм "ха, вот он лоханулся-то"). Естественно, если не полный имбецил )
В принципе - работа security auditor'ов в мире достаточно неплохо оплачивается. И очень часто компании специально приглашают независимых людей со стороны, зарекомендовавших себя как хорошие специалисты по секьюрити (типа Solar Designer'а).
Так что мое предложение - проводить такой конкурс с открытым исходником.

 

[Frenk]

Поставил Zend. Запускаю Apach - ошибку выдает.
В php.ini прописал что надо:
[Zend]
zend_optimizer.optimization_level=15
zend_extension_ts="C:\Program Files\Zend\lib\ZendOptimizer.dll"
В чем может быть проблема?

 

[dr.vint]

А смысл ?

 

[VdG]

Хе. у меня такой же календарик есть, только сам писал.
верно, это похоже на соревнование какое-то. Полностью согласен со Scorab

 

[VdG]

Не вижу здесь большого интереса. Я так думаю решение задачи не состоит в поиске дырок (а это было бы как раз интересней копаться в дырявых php-скриптах). А так вся задача - монотонное ковыряние машинного кода Зенда я понимаю? дак мы таким еще в 10 классе занимались на zx-spectrum, когда дизассемблер с экрана в тетрадь переписывали, а потом разбираяcь вставляли в игрушки 255 або бесконечность жизней. или я вообще ничего не понял?

 

[Scarab]

Автор оригинала: VdG
дырявых php-скриптах). А так вся задача - монотонное ковыряние машинного кода Зенда я понимаю? дак мы таким еще в 10 классе занимались на zx-spectrum, когда дизассемблер с экрана в тетрадь переписывали, а потом разбираяcь вставляли в игрушки 255 або бесконечность жизней. или я вообще ничего не понял?

А эта задача вообще требует только терпения и никакого творческого мышления. Дебаг на уровне машинного кода еще никто не отменял, и ежу понятно, что на этом уровне взломать можно все - просто это требует времени. А оно, как известно - деньги

 

[tony2001]

>Так что мое предложение - проводить такой конкурс с открытым исходником.
хорошая мысль, кстати.
РНР-контест - не интересно, а вот поиск дыр (ибо бывают и реальные показательные случаи, которые не жалко выложить на всеобщее обозрение) - это получше имхо.
и оригинально.

 

[Oleg Marchuk]

Было бы интересно изнать результаты и общий механизм, как ломать, а также оценку времени на взлом.

 

[RomikChef]

Жаль, что нельзя выбрать одновременно второй, третий и пятый пункты

 

[WMix]

по мне это надо один раз попробывать
чтоб понять сколько сил надо потратить и есть ли смысл для этого кодировать.

на синклере и я програмки ломать пробывал но как сказал VdG
найти надо одну переменную или место картинки или...

а получить сорци это посложнее
................................

ну и в помощь перед началом работы

это шифрованный код сорцов или уже бинар

 

[VdG]

Скорее это шифровка, а так бы можно было смело эту муля в cg-bin класть и говорить, что написана на чистом асме

 

[DVLev]

Меня больше интересует можно ли как-то выкачать код скрипта с сервера провайдера при условии, что доступ к админу провайдера с водкой затруднен (это по поводу начала темы).

Иначе говоря возможно ли используя ошибки PHP загрузить в браузер не результат выполнения скрипта, а сам текст скрипта?