Уязвимость (дырка) кода SAPE.

Весь месяц май один из моих сайтов постоянно ломали.

Через код сапы заливали шелл на сайт, а уже через него получали доступ к открытым паролям сайта.

Как ломали рассказывать не буду, но как побороть расскажу.

Если ваш сайт (ваша CMS) не может работать без отключенных глобальных переменных (register_globals = on) и если у вас стоит код вызова ссылок вида:

----------------
if (!defined('_SAPE_USER')){
define('_SAPE_USER', 'da3……3920');
}
require_once($_SERVER['DOCUMENT_ROOT'].'/'._SAPE_USER.'/sape.php');
$sape = new SAPE_client();
----------------


То рекомендую его быстренько заменить на:

----------------

if (!defined('_SAPE_USER')){
define('_SAPE_USER', 'da3......0');
}

require_once('/пропишите_путь_до_папки/создайте_свою папку/'._SAPE_USER.'/sape.php');
$o['host'] = 'домен_вашего_сайта';
$sape = new SAPE_client($o);
unset($o);
echo $sape->return_links();

----------------


и на всякий случай в корневой .htaccess вписать следующие строки:

deny from geocities.com
deny from sunggong.tv
deny from stormpages.com
deny from kyokushin.hu
deny from baidu.com
deny from abirdseyeviewof.com
deny from t35.com
deny from agicmountainfilms.com
deny from ozland.at.ua
deny from ripway.com
deny from uaedesign.com
deny from uuuq.com

И периодически посматривайте на свой error.log


ps: здесь http://forum.sape.ru/showthread.php?t=32218 я обратился в суппорт sape ... но ... остался не услышанным. Единственный их ответ был: "Нефиг использовать register_globals = on"

Получается так, если я сделаю "register_globals = off" - sape перестанет быть дырявой, но!! перестанет работать сайт.

А переписать им свой скрипт сапы и сделать его универсальным (в начале скрипта написать анализ GET POST параметров и при различных условиях делать то или иное) - им слабо.

White (белый) и black (черный) листы оптимизаторов для Sape.

В инете множество предложений для оптимизаторов с черными листами ссылок вебмастеров (ВМ) для Sape, а я решил поделиться своим списком white и black листов оптимизаторов для ВМ

Данные листы будут очень полезны тем ВМ, кто работает с Sape в “ручном режиме”.

Каждый сайт, присутствующий в листах, был проверен “ручками”.
Я заходил на сайт, листал его страницы, смотрел информационную наполняемость, ИЦ и PR страниц и его полезность, наличие дубликатов (подобных сайтов с идентичным наполнением), присутствие на страницах поискового спама.

Критерии попадания оптимизатора в белый лист (white list) Sape:
(лист содержит 1722 адреса)

Адекватный анкор ссылки, за которым скрывается НЕ ГОВНОСАЙТ: содержателен, не имеет дубликатов, сайт реальной компании или реальный действующий информационный проект с хорошей посещаемостью. На страницах отсутствует поисковый спам. Сайт присутствует в индексах поисковых систем.

Критерии попадания оптимизатора в черный лист (black list) Sape:
(лист содержит 972 адреса)

• ДОРВЕЙ
или
• ГОВНОСАЙТ
или
• N-й запрос на размещение ссылки без последующего одобрения
или
• N-й запрос со спам анкором.
или
• мигальщик,слипер...
или
• Информационный дубликат (или хороший рерайт) созданный для продвижений основного проекта оптимизатора.

Скачать white (белый) и black (черный) листы оптимизаторов: sape_white_black_list.xls - 200 КБ.
Пароль на открытие файла: 111

ps: Тем, кто зарегистрируется по моей реф ссылке, я даю консультации. До консультаций со мной ничего не делайте в своем аккаунте.

Sape настала жопа.

В продолжение темы на searchengines.ru: “Выпал сайт из индекса”

Вот такой ответ я получил от Платона, рано я радовался о возвращении 9500 страниц по состоянию на 2 часа ноч и 30/10/2007 года, в 7:00 картина была иная – 95 страниц…

Долгожданный ответ:

“Приносим извинения за задержку с ответом.
В данный момент проиндексировано более 90 страниц, проверьте, пожалуйста:

тут адрес сайта ….

В то же время, часть страниц, скачанных роботом, не участвует в поиске, так
как алгоритмы Яндекса обнаружили среди них страницы со ссылками на ресурсы,
которые раскручиваются с помощью ссылочного спама или являются поисковым
спамом. Эти документы и некоторые разделы сайта, куда они входят, были
автоматически понижены в результатах поиска или исключены из них, так как
поисковый спам ухудшает качество поиска.
Чтобы вернуть страницы в поиск, уберите, пожалуйста, ссылки на подозрительные
ресурсы или, если речь идет о немодерируемом разделе сайта, обрамляйте ссылки
на внешние сайты тегом <noindex></noindex>. Если изменения будут внесены, сайт
вернется в поиск автоматически.
--
С уважением, Платон Щукин ”

Лишние домыслы излишни :)
Спасибо, что не бан.

Есть идеи насчет решений по Sape?
У меня пострадали все сайты участники.
Семью кормить надо, да и за квартиру кредит еще не выплачен :(

Пишите комменты