Письмо хакера админу сайта. Как писать?

[inlanger]

Привет всем. Вопрос больше к гуру ачата, но выслушаю всё.
Очередной раз, найдя дырку в сайте, залив туда шелл и поковыряв бедный сервер я всё удалял и забивал на это дело.
Но немного подумав, я решил что на этом можно иметь хоть какие-то, но деньги!
И сам вопрос... Как написать письмо владельцам сайта, чтобы не получить срок, а получить максимальную выгоду с найденного бага?

[mad_xakep]

да у меня тоже наподобие случай так что посоветуете?

[groundhog]

inlanger, никакой материальной выгоды ты с этого не получишь... Или получишь годик условно, или максимум на тебя забьют... У меня был некоторый опыт общения с администрацией крупнейших региональных ресурсов по поводу багов. В 89% случаев они молча закрывали дырку, в 9% случаев они даже не реагировали на уведомление, и только 1% народа говорил "спасибо" (в основном админы всяких игровых порталов и серверов). Так что выгоды ты с этого не получишь, или уведомляешь "за так", или потом проблем не оберёшься - повесят 272, 273, 274, шантаж и т.д. Оно тебе нужно?

[inlanger]

ясный пень, что не нужно! но не может же быть всё так плохо! Если у меня доступ ко всем файлам на серваке хостера...то есть мои все сайты сразу. я ничего не копировал, значит я ничего плохого пока не сделал, и на мея повесить нечего?

[Iceangel_]

Я ни разу не писал писем админу... Но все же напишу, как бы я написал...

Здравствуйте Уважаемый Администратор сайта {dira.ru} ! Я случайно заметил ваш сайт{здесь можно написать всякие почести в его сторону...}, так как ваш сайт меня заинтересовал своим{всякие почести в сторону контента и дизайна}, я решил его проверить на безопасность(мало ли какие нибудь хакеры похекают мой аккуант, будут его использовать в своих целях, а я ведь мего-хекер, я не могу такого позволить =)... ), при изучения скрипта index.php, я нашел критическую уязвимость в параметре id позволяющую извлекать из базы данных, логин и пароль от вашего аккуанта [здесь ссылка на уязвимость].
Убедительно прошу исправить эту уязвимость, в целях вашей же безопасности.
Если у вас возникнут вопросы по части этой темы стучите в ICQ

[groundhog]

Ты получил неправомерный доступ к информации... Все средства, которые ты для этого использовал - вебшеллы, сплоиты для повышения привелегий или эксплуатации каких-то уязвимостей будут классифицированы как зловредное ПО... Итого уже две статьи... Если ты предложишь ещё "исправление уязвимости за вознаграждение" - получится вымогательство... Так что забей на эту тему.

З.Ы. Вот от вышеопубликованного поста можно и оттолкнуться, только поменьше почестей... Оно и нах не нужно...

[Iceangel_]

я ничего плохого пока не сделал, и на мея повесить нечего?

Это ты так просто думаешь...
Я очень скептически, если честно, отношусь к нашим органам порядка...
У невиновных условно, т.к. не на кого было скинуть дел эдак 5, виновные на свободе, мол молодые зачем им жизнь портить...

[gibson]

да это все баян тема уже не раз поднималась и все время приходили к выводу что никто не заплатит, а в иных случая даже заявят на тебя в упр К.
p.s. никто не просил тебя искать уязвимости, админы которым нужно знать где могут быть баги сами ищют челов для проверки.

[bul.666]

скажи что админ мудак...

[inlanger]

groundhog, весь прикол в том, что доступ к серваку я получидл через свой хостинг. и вредоносное ПО заливал к себе най сайт, а не к ним.

[bul.666]

и вредоносное ПО заливал к себе най сайт
Все равно посадят

[xXvladXx]

У нас внутри сети медиа портал есть, я там нашел скул иньекцию... сообщил админу вместо благодарности админ просто забил. Потом нашел еще 1 критическую уезвимость, сообщил ему он меня забанил на 2 внутри сетевых ресурсах(dc+ и медиа портал)(((

[Jes]

hmm , сотри и продай ему его же базу :)
хотя от 272, 273 всеравно он спасет

[bul.666]

Большенство админов не любят, когда в их "вещах" находят "изъяны" =\\
ЗЫ. Isis исключение =)

[xXvladXx]

hmm , сотри и продай ему его же базу :)
хотя от 272, 273 всеравно он спасет
админ 100% не купит базу(гордость не позволяет)

[_Sniper_]

Чёт я не понимаю как они находят чела который хакнул и садят? =))

[inlanger]

если его бить на работе начнёт за эту базу... он тебя умолять будет, продать ему её.

[Jes]

Чёт я не понимаю как они находят чела который хакнул и садят? =))

а вот так и находять (на pro-hack.ru была даже статьища про то , насколько просто тебя вычислить (если есть интузиазм и нашивка 'К'))

[v1ru$]

Я в депозитфайлс писал,мол у вас плохая фильтрация=>пассивная xss,в ответ сказали "опишите подробнее"))

[Ershik]

У меня было иначе. Нашел баги на своем хостинге, составил список попарно: что уязвимо и как можно исправить и отослал администрации.
Мне только спасибо сказали :) Не все так плохо :)

[BlackCats]

хз, когда я написал в хостинг 1 который взломал, поприбеднялся, написал что я никак не хакер, а програмист, который желает им только помочь, и написал что если не дай бог это найдут злые хакеры - с ними много чё может случица, а я голодный бедный програмист хочу им только помоч... ну и всё норм :) договорились саппорты взрослые попались, нормальные люди :)
===
была найдена sql inj+несколько xss

[Ershik]

BlackCats, ну хостингу то конечно, больше надо думать о безопасности.
Если напримеру у некого хостера будет 500 сайтов на сервере, и из-за банальной php-inj уведут базы, или того хуже уничтожат сервер - сваливать будут на хостера....
Наверное с хостерами нам просто повезло. Дальше оффтоп но интересно, как часто у самих хостеров находят критические уязвимости. :)

[Ar3s]

inlanger

У меня бывало всякое. Писал одним - тишина. Ни исправлений багов, ни строчки в ответ. (это был хостер, на площадке сайтов 50-60, включая два банка msk). Его потом тупо кто-то снес нафиг.

Другие (мой хостинг) отреагировали очень быстро. Поблагодарили и с тех пор (как мне кажется) стали более благосклонно ко мне отноститься.

И последнее. Забей на идею урвать бабла. один из 500 согласится. 2 из 15 скажут спасибо. от 13 из 15 ты не получишь ответа. 10 из 15 никак не отреагируют на твое письмо (это по моим наблюдениям)