![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
Entry tags:
Как же поймали пирата Робертса?
История с пиратом Россом Ульбрихтом, между тем, становится интереснее (для тех, кто не знает, кто это, дальше можно не читать, будет ещё непонятнее). Он, по-видимому, нашёл себе таки хороших адвокатов, и эти адвокаты потребовали от ФБР доказать изложенную прежде версию того, как его поймали, и ФБРовцам пришлось предьявить документы. И тут оказалось следующее:
0. Как я и говорил, всё содержимое серверов, конфиги, логи и т.д. на месте - в принципе, ничего удивительного, так и должно быть.
1. У ФБР нет собственных записей того, как происходил процесс ловли - то ли они их не вели почему-то, то ли играют в IRS. Oднако логи-то сервера есть! И теперь единственными материальными доказательствами происшедшего будут именно эти логи.
2. Конфигурация сервера сделана таким образом, что доступ, описанный в версии ФБР, на этот сервер невозможен - сервер откажется разговаривать со всеми адресами, кроме одного специального адреса фронт-енда, про который ФБР не упоминало ничего.
3. Но тут можно спорить - вдруг этот конфиг был тогда не активен, или есть какой-то способ его обойти? И тут оказывается, что в логах вообще нет обращений к капче, которую якобы видели агенты ФБР - а есть прямой доступ к странице, на которой вообще phpmyadmin. Т.е. ФБРовцы должны были каким-то другим способом узнать IP, и только потом они зашли туда и посмотрели - что же там.
Т.е. версия с капчей, похоже, полностью разваливается. И теперь у ФБР какие варианты? Они могут копать глубже - заявить, что всё всё равно так и было, логи неправильные, и т.д. - но это довольно опасно, т.к. любой компетентный независимый эксперт разнесёт это дело вдребезги. Могут обьявить, что настоящий метод - это Большой Секрет Государственной Безопасности и рисковать тем, что судья может и решить, что этот метод некошерен, и проделать тем самым здоровенную брешь в доказательной базе дела. Тут многое от судьи зависит, Могут сделать Ульбрихту предложение, от которого нельзя отказаться - типа, мы скидываем срок до ..., а ты за это со всем соглашаешься и мы не тянем наши методы в суд и не выслушиваем вопросов, ответы на которые мы не хотим давать.
В любом случае, дело, похоже, обещает быть интересным.
0. Как я и говорил, всё содержимое серверов, конфиги, логи и т.д. на месте - в принципе, ничего удивительного, так и должно быть.
1. У ФБР нет собственных записей того, как происходил процесс ловли - то ли они их не вели почему-то, то ли играют в IRS. Oднако логи-то сервера есть! И теперь единственными материальными доказательствами происшедшего будут именно эти логи.
2. Конфигурация сервера сделана таким образом, что доступ, описанный в версии ФБР, на этот сервер невозможен - сервер откажется разговаривать со всеми адресами, кроме одного специального адреса фронт-енда, про который ФБР не упоминало ничего.
3. Но тут можно спорить - вдруг этот конфиг был тогда не активен, или есть какой-то способ его обойти? И тут оказывается, что в логах вообще нет обращений к капче, которую якобы видели агенты ФБР - а есть прямой доступ к странице, на которой вообще phpmyadmin. Т.е. ФБРовцы должны были каким-то другим способом узнать IP, и только потом они зашли туда и посмотрели - что же там.
Т.е. версия с капчей, похоже, полностью разваливается. И теперь у ФБР какие варианты? Они могут копать глубже - заявить, что всё всё равно так и было, логи неправильные, и т.д. - но это довольно опасно, т.к. любой компетентный независимый эксперт разнесёт это дело вдребезги. Могут обьявить, что настоящий метод - это Большой Секрет Государственной Безопасности и рисковать тем, что судья может и решить, что этот метод некошерен, и проделать тем самым здоровенную брешь в доказательной базе дела. Тут многое от судьи зависит, Могут сделать Ульбрихту предложение, от которого нельзя отказаться - типа, мы скидываем срок до ..., а ты за это со всем соглашаешься и мы не тянем наши методы в суд и не выслушиваем вопросов, ответы на которые мы не хотим давать.
В любом случае, дело, похоже, обещает быть интересным.
no subject
no subject
no subject
Ваще то приведенный конфиг означает совсем не это, а то, что сервер отвечает на запрос только с одного адреса, что же касается того, откуда сервер сам запрашивает - этого в конфиге как раз нет. И капча вполне может быть запрошена с любого айпи, конфиг этого не запрещает
Конечно, это означает, что на бек-енд сервер нельзя было зайти, как fbi описало, это да. Тем не менее, айпи бек-енда теоретически так найти можно
Если в логах был прямой доступ к phpmyadmin, то я простите хуею, дорогая редакция. Это ж надо додуматься - закрыть индекс и разрешить phpmyadmin
Ну и собственно в конфиге вот эта секция location ~* \.php$
разрешает прямой доступ к php, а запрещен только индекс
no subject
no subject
И проверить линк ip/phpmydmin должен даже самый тупой хакер
А айпи у них был с трейса капчи. То есть я не вижу особенной глупости в документах предоставленных fbi. Единственное что хотелось бы узнать - они мониторят все капчи в мире? ух! Вот в этом месте мне кажется вранье
no subject
no subject
no subject
no subject
если был ордер на арест сервера, то вилы. как фбр нашло сервер, уже неважно
no subject
no subject
Ну давайте распишем
1. Сайт работал а) через франт енд, а франт енд через тор
не возражаю
2. Качать напрямую с сервера было нельзя
Да, с оговоркой. В конфиге прописан запрет прямого обращения к индексу (и все, что с параметрами за индексом).
И прописано разрешение обращаться напрямую ко всем php файлам, в том числе phpmyadmin
3. фбр говорит, что картинка капчи была показана с другого сайта, куда обращался этот бэк енд сервер
Это именно как капча и работает - сервер не держит картинку у себя, а берет ее с другого сайта, при этом сайт капчи сам на этот бэк енд сервер не заходит, потому что ему не нужно. В конфиге запрета серверу обращаться к другому сайту нет. Прокси в конфиге нет. Подобный запрет можно еще сделать в файрволе, но нам его не показали.
4. если фбр сумело отловить обращение за капчей этого сервера, что вполне возможно технически, если сидеть в середине и слушать, то у них был айпи бэк енд сервера
5. да, никакой страницы с капчей они увидеть бы не могли, потому что индекс не разрешен, а там был вордпресс и соотвественно все управляется параметрами, то есть страниц с адресом .html просто не существует
6. но доступ в phpmyadmin был разрешен, phpmyadmin сидит на том же сервере и имеет тот же айпи. И даже самый тупой фбровский хакер догадается проверить http://ip/phpmyamin
ну то есть врут насчет показа капчи, хотя я бы еще посмотрел на логи, потому что там все идиоты, похоже, фбр не может ничего объяснить, адвокаты несут зеленую чушь. А страница с капчей могла сидеть не только за индексом, но и иметь прямой доступ по php
Но вот технически поймать его на капче было можно
И смотрю я на этот конфиг и сердце разрывается - ну что ж за идиоты пираты нынче, у которых есть прямой доступ к phpmyadmin из wild wild web. Удивительно, что его не хакнули до того
no subject
Что-то я не понял, откуда вы взяли, что сервер берёт картинку с другого сайта? И каким образом этот сайт даёт ФБР информацию об IP сервера? В документе тут:
http://ia700603.us.archive.org/21/items/gov.uscourts.nysd.422824/gov.uscourts.nysd.422824.57.0.pdf
я таких описаний не вижу, на основании конкретно чего там вы это утверждаете?
что вполне возможно технически, если сидеть в середине и слушать,
Я что-то не помню никаких упоминаний о сидении в середине и слушании, не могли бы вы привести цитату?
да, никакой страницы с капчей они увидеть бы не могли
Они утверждают, что они её увидели, более того - её видел каждый, кто заходил на зайт.
И даже самый тупой фбровский хакер догадается проверить http://ip/phpmyamin
Вопрос, разумеется, в том, откуда они узнали ip.
no subject
Я чиста расстроился за крутого пирата. Надо ж, крут как яйца, а доступ в phpadmin не закрыл. файрвол не поставил, прокси нет. Меня б что ли взял на полставки, я в секьюритях разбираюсь как два фбр (или даже три)