Уязвимость (дырка) кода SAPE.

Весь месяц май один из моих сайтов постоянно ломали.

Через код сапы заливали шелл на сайт, а уже через него получали доступ к открытым паролям сайта.

Как ломали рассказывать не буду, но как побороть расскажу.

Если ваш сайт (ваша CMS) не может работать без отключенных глобальных переменных (register_globals = on) и если у вас стоит код вызова ссылок вида:

----------------
if (!defined('_SAPE_USER')){
define('_SAPE_USER', 'da3……3920');
}
require_once($_SERVER['DOCUMENT_ROOT'].'/'._SAPE_USER.'/sape.php');
$sape = new SAPE_client();
----------------


То рекомендую его быстренько заменить на:

----------------

if (!defined('_SAPE_USER')){
define('_SAPE_USER', 'da3......0');
}

require_once('/пропишите_путь_до_папки/создайте_свою папку/'._SAPE_USER.'/sape.php');
$o['host'] = 'домен_вашего_сайта';
$sape = new SAPE_client($o);
unset($o);
echo $sape->return_links();

----------------


и на всякий случай в корневой .htaccess вписать следующие строки:

deny from geocities.com
deny from sunggong.tv
deny from stormpages.com
deny from kyokushin.hu
deny from baidu.com
deny from abirdseyeviewof.com
deny from t35.com
deny from agicmountainfilms.com
deny from ozland.at.ua
deny from ripway.com
deny from uaedesign.com
deny from uuuq.com

И периодически посматривайте на свой error.log


ps: здесь http://forum.sape.ru/showthread.php?t=32218 я обратился в суппорт sape ... но ... остался не услышанным. Единственный их ответ был: "Нефиг использовать register_globals = on"

Получается так, если я сделаю "register_globals = off" - sape перестанет быть дырявой, но!! перестанет работать сайт.

А переписать им свой скрипт сапы и сделать его универсальным (в начале скрипта написать анализ GET POST параметров и при различных условиях делать то или иное) - им слабо.

Украинцам нельзя использовать Яндекс.деньги.

Обращаюсь с официальным предупреждением к своим согражданам Украины, к тем кто пользуется Яндекс.Деньгами.

Перестаньте использовать кошельки Яндекс.Деньги т.к. неровен час ваш кошелек прикроют на основании: "Система "Яндекс.Деньги", предназначена только для резидентов РФ."

Я через это прошел.

1. Сначала мне заморозили счет с пояснением типа: "мы усомнились в вашей личности и решили проверить, кто вы такой - вам надо пройти идентификацию".

2. Начинаю переписываться суппортом money.yandex.ru и получаю инструкцию: "Если Вы нерезидент, Вы можете заполнить заявление, приложенное к нашему письму, обязательно на русском языке, заверить его у нотариуса и прислать нам по почте заказным письмом"

3. C месяц назад я все сделал согласно п.2. и сегодня получил ответ: "Согласно п. 9.2.1 "Соглашения Об Использовании Системы Яндекс.Деньги" договор может быть расторгнут по инициативе Пользователя и/или Оператора Системы в любое время. Инициатор расторжения Договора направляет другой стороне соответствующее
уведомление. Договор считается расторгнутым по истечении десяти дней после получения указанного уведомления.

На основании вышеизложенного, ООО "ПС Яндекс.Деньги" сообщает, что по истечении десяти дней с момента получения настоящего уведомления, "Соглашение об использовании Системы Яндекс.Деньги" считается расторгнутым, используемый Вами
Виртуальный Счет ##### Оператором Системы будет закрыт.

Предлагаем Вам в течении десяти дней со дня получения настоящего уведомления использовать внесенную сумму платежа на Виртуальном счете ####."


В след за моим возмущением: "Как это понимать?
10.03.2009 г. в ваш адрес я отправил нотариально заверенное заявление
в соответствии с формой , что вы мне высылали 07/03
16.03.2009 по данным почты России письмо вам было доставлено
Почтовый идентификатор: RA041715585UA
И сейчас вы мне пишите, что отказываете в сервисе?
Это нормально?
Можно услышать причину отказа."


Я получаю ответ: "Правильно ли я поняла, что заявление подавал резидент Украины? Тогда это и есть причина отказа. Система "Яндекс.Деньги", к сожалению, предназначена только для резидентов РФ."


Мой ответ, пока без комментариев: "Правильно Вы поняли, это было понятно еще в марте и ранее, что я резидент Украины, никто этого не скрывал, а даже писал вам.

Так для чего был весь этот театр с нотариальной подписью?

Зачем вы меня заставляли тратить деньги на нотариуса, почту ...
Если еще ранее вы мне могли отказать в сервисе!

Идиотская ситуация!!!

Головная боль + трата экв. $40-$50
чтобы вывести = 1500 руб. - 3(5)% = экв.~ $40

Мой тур выходного дня – полет на воздушном шаре.

5 апреля я получил необычный подарок: “Тур выходного дня: “Полет на воздушном шаре” от Киевского общества воздухоплавателей.

Незабываемое тур длился около 1 часа в окрестностях трассы Киев – Житомир над деревнями, поселками, лесами, болотами. Максимально достигнутая высота 850 метров.

На высоте в 850 метров не фотографировал, т.к. граница корзины мне упиралась ниже пупка, а надо было держаться зубами, руками, ногами … :)

По приземлении меня ожидал обряд посвящения в полноправные члены дворянского собрания. Мне жгли волосы, тушили шампанским, а по окончанию вручили памятную грамоту, подтверждающую присвоенный мне, после полета на воздушном шаре, дворянский титул: "Князь Андрей Здвиж – Залесский" (перелетел речку “Здвиж” и приземлился “За лесом” отсюда и “Андрей Здвиж – Залесский”)

Также получил право владения землями, над которыми на высоте 1 метра я пролетал, а это порядка 2 гектаров земли вместе с домами жителей деревушки “Фасовочка”.

Почему дворянский титул?

Традиция родом из Парижа. В свое время Луи XVI, издал указ, что летать могли только титулованные особы.

Кому интересно и кто хочет полетать, координаты Киевского общества воздухоплавателей:

Полеты на воздушных шарах в Киеве и Украине
http://www.ballooning-ua.com/
+38(044) 406 77 00
+38(096) 404 65 66
+38(050) 351 66 28

Отслеживание заказных писем в Украине и России.

Проблема с идентификацией пользователя для Яндекс.Деньги и Webmoney позволила столкнуться мне с очень даже неплохим web сервисом Почты России, Украины.

А называется он “Отслеживание почтовых отправлений / Пошук поштових відправлень”.

Идете на почту, отправляете заказное письмо и получаете на руки чек, на котором отпечатан номер штрих-кода:

• Формат в Украине в страны СНГ: 13-ти значный номер вида RA000000000UA (вместо “0” соответствующие цифры)
  ( на чеке номер в одну строку не помещается, поэтому ищите продолжение цифр во второй строке :)
  
  
• Формат для России: 14-ти значный. Вид номера: 115254(80)15253 5. Следует вводить:
  Почтовый идентификатор: 11525480152535 (весь номер без скобок и пробелов).

Потом переходите на страницу сайта почты:

• В Украине: “Пошук поштових відправлень”
  http://www.ukrposhta.com/www/upost.nsf/search_post?openpage
  
  
• В России: “Отслеживание почтовых отправлений”:
  http://www.russianpost.ru/portal/ru/home/postal/trackingpo

Введя свой номер в соответствующее поле вы можете наблюдать весь путь прохождения вашего письма.

Как только на странице соответствующей почты вы получите сообщение, что ваше письмо выбыло за пределы страны – переходите на страницу почты страны, куда письмо была импортировано и продолжайте отслеживать прохождение письма уже на странице почты импортера.

Саундтрек к фильму Мёртвые как я: Жизнь после смерти / Dead Like Me: Life After Death (2009).

Вчера с женой посмотрел фильм “Жизнь после смерти / Dead Like Me: Life After Death (2009)”, фильм так себе , а вот музыка в конце нас заинтересовала.

Просмотрел титры фильма, чтобы определить автора …
Виг вам…

Тогда решил порыться в инете с запросами:

• Саундтрек Мёртвые как я: Жизнь после смерти
• Саундтрек Dead Like Me: Life After Death
• Музыка к фильму Мёртвые как я: Жизнь после смерти
• Музыка к фильму Dead Like Me: Life After Death

Тоже все пусто.
Оставил запросы на трекерах.
И... ура, сбылась мечта идиота!

Саундтрек называется: "Metisse - Boom Boom Ba"

Делюсь:

Можете скачать Metisse - Boom Boom Ba: metisse_-_boom_boom_ba.mp3 - 6.7 Мб

И просмотреть клип Metisse - Boom Boom Ba

White (белый) и black (черный) листы оптимизаторов для Sape.

В инете множество предложений для оптимизаторов с черными листами ссылок вебмастеров (ВМ) для Sape, а я решил поделиться своим списком white и black листов оптимизаторов для ВМ

Данные листы будут очень полезны тем ВМ, кто работает с Sape в “ручном режиме”.

Каждый сайт, присутствующий в листах, был проверен “ручками”.
Я заходил на сайт, листал его страницы, смотрел информационную наполняемость, ИЦ и PR страниц и его полезность, наличие дубликатов (подобных сайтов с идентичным наполнением), присутствие на страницах поискового спама.

Критерии попадания оптимизатора в белый лист (white list) Sape:
(лист содержит 1722 адреса)

Адекватный анкор ссылки, за которым скрывается НЕ ГОВНОСАЙТ: содержателен, не имеет дубликатов, сайт реальной компании или реальный действующий информационный проект с хорошей посещаемостью. На страницах отсутствует поисковый спам. Сайт присутствует в индексах поисковых систем.

Критерии попадания оптимизатора в черный лист (black list) Sape:
(лист содержит 972 адреса)

• ДОРВЕЙ
или
• ГОВНОСАЙТ
или
• N-й запрос на размещение ссылки без последующего одобрения
или
• N-й запрос со спам анкором.
или
• мигальщик,слипер...
или
• Информационный дубликат (или хороший рерайт) созданный для продвижений основного проекта оптимизатора.

Скачать white (белый) и black (черный) листы оптимизаторов: sape_white_black_list.xls - 200 КБ.
Пароль на открытие файла: 111

ps: Тем, кто зарегистрируется по моей реф ссылке, я даю консультации. До консультаций со мной ничего не делайте в своем аккаунте.