11:13
1/7/2012

Dziś, ostatniego dnia mistrzostw Europy w piłce nożnej EURO 2012, kilka minut po północy nastąpił deface oficjalnej strony WWW Roberta Lewandowskiego. I to wykonany przez atakujących z państwa–gospodarza: Polski.

lewandowskirobert.com hacked

lewandowskirobert.com hacked

Podmieniona strona www.lewandowskirobert.com

Do ataku przyznała się grupa JurassicSec (znana z opublikowania baz z danymi studentów Akademii Morskiej). Atakujący skomentowali to tak:

“Koko koko euro spoko, przegraliśmy i jest spoko”
“Polska reprezentacja jest jak jaja. Biorą udział, a nie wchodzą…”

Warto jednak podkreślić, że z informacji na podmienionej stronie wynika, iż nie byli tam pierwsi… (na stronie znajdował się już webshell, a na forum dt informowano o luce SQLi). O sprawie poinformował nas czytelnik Dariusz Nowak.

Przeczytaj także:

39 komentarzy

Dodaj komentarz
  1. Teraz adres kieruje na jakiś profil na Facebooku.

  2. chyba lewandowskirobert.com a nie robertlewandowski.com

  3. No mi już działa normalnie. I kto robi całą stronę we flashu?! Przecież na starszych maszynach, gdzie nie ma dobrego wsparcia akceleracji graficznej to będzie działało masakrycznie :/

    • Moja maszyna jest starsza, 3gb ramu, 2×2.8 GHz, GeForce 9800 1GB i działa :(

    • Ja mam 2GB ramu i kartę 768MB i też działa.

    • To mają być stare komputery? Hyhyhy, Intel Celeron D 3,79GHz, 1GB DDR2 i zintegrowany Intel, właśnie na tym siedzę, ale nie mogę sprawdzić, bo przerwa techniczna :P

    • Ja do 2011 roku miałem Celeron 2.0GHz i (uwaga) 512MB ramu :(

    • A ja 2 lata temu miałem AMD Semprona (chyba 1,7GHz) i też 512MB :P

    • A w piwnicy leży Packard Bell 2MB RAMu i 60MB HDD (i działa) :D

    • AVE…

      Ja mam komputer Optimus 486DX, i jeszcze do tego tak zaawansowanym dyskiem twardym i BIOSem, że ręcznie musiałem mu wprowadzić lokalizację MBR, by wogóle się uruchomił…

  4. Na devilteam Kacper juz dawno opublikowal sqli na lewandowskirobert.com

  5. Nie ktoś, a K******k z dt.
    Jest tam piękne sqli ze zwykłym unionem.

  6. Cała strona we flashu. Normalnie inteligencja się kłania!!
    Brak dostępności dla urządzeń mobilnych i czytników ekranu :/

    • Co ma to wspólnego z inteligencją, to brak przyjazności np tak jak Twoja wypowiedź nie jest przyjazna dla mnie. – chyba to nie koniec świata ?

    • AVE…

      Strony we Flashu to zło, zwłaszcza tam, gdzie sprzęt jest nietypowy lub niewydajny. Przykładowo terminale dostępowe się przy czymś takim tną. No i programy ułatwiające dostęp niepełnosprawnym tego nie widzą. A i czas ładowania się czegoś takiego przy słabszym łączu to koszmar…

    • Flash jest zły ale HTML5 jest na szczęście dobry.

  7. Podsumowując:
    Kacper znalazł,
    K*****ek pobawił się,
    Kacper połamał hashe,
    K*****ek wgrał shella,
    ktoś go wykorzystał.

    Co ciekawe:
    -hasła nie zostały zmienione
    -został usunięty katalog /panel
    -nie zostały zmienione dane dostępowe do db

    • + oczywiście sqli nadal nie zostało załatane

  8. Ogórek ogórek ogórek
    Zielony ma garniturek

    • potwierdzam

    • nie potwierdzę i nie zaprzeczę

  9. Tak sucho na tym deface że aż mi w gardle zaschło…

  10. https://devilteam.pl/viewtopic.php?f=17&t=7173 w maju jeszcze został upubliczniony błąd. Ciekawe czy tak na serio sami znaleźli błąd czy skorzystali z gotowca

  11. Teraz na stronie jest TYLKO napis: “Przerwa techniczna”

  12. Teraz jest “przerwa techniczna”.

  13. co do stronek we flashu to potwierdzam… screenreadery leżą i kwicz i my ichni użytkownicy też:P
    należało się flashowemu…
    po flashu jest boom headshot:P

  14. Kacper znalzł sql injectiona tylko Information_schema było wyłaczone. Dopiero Kotecek to rozpracowal, wyciagnal hasla, następnie Kacper je złamał, po czym Kotecek wgral c99. Podsumowując pierwsi wlamali sie Kacper i Kotecek z devilteam – tylko oni nie robili deface, bo to ludzie na poziomie i z zasadami. Jakies dzieci neostrady, chciały się pewno popisac, wykorzystali ich wiedzę i podmienili stronke.

  15. Heja, Pokuszę się o krótki komentarz do owego problemu. Wiele razy przeglądając niebezpiecznik, widzę jak ktoś coś podmieniał po tym, jak ja opublikowałem gdzieś jakąś lukę. Nie zdarza się to pierwszy raz. Rzadko się ujawniam, gdyż nie obnoszę się tym czym się zajmuję. Co nawet chyba nawet zauważyli użytkownicy niebezpiecznika, wspominając o mnie K*****k ;) Jednak chciałbym się zwrócić publicznie do grupy JurassicSec, nie chcę Was obrażać – daleko mi to tego, podchodzę czysto neutralnie. Fakt – faktem, shell c99 nie był zabezpieczony, jednak znalezienie go nie oznacza, że trzeba od razu podmieniać stronę – jest to chamskie podejście i lekko dziecinne. To tak jakbym wyszedł na ulicę i zabijał wszystko co się rusza – bo taki mam kaprys. Z drugiej strony, i tak mam lekki szacun, ponieważ napisaliście, że to nie Wy odwaliliście całą robotę, jak robią to inne osoby, które całkowicie podpisują się pod czyjąś pracą. Co do webmasterów Roberta Lewandowskiego, jeśli to czytają, a nadal nie wiedzą w czym tkwi problem z bezpieczeństwem strony, zapraszam do kontaktu: kotecek(at)devilteam.pl – i mogę powiedzieć co i jak całkowicie za darmo, gdyż mam pełen szacunek do Roberta Lewandowskiego za wspaniały mecz, pomimo iż nie wyszliśmy z grupy. Przy okazji pozdro dla Kacpra ;*

  16. Ja was po prostu nie rozumiem. Po co? Jesteście tacy zdolni, pełni wiedzy i obycia w informatycznym światku… itp… to weźcie coś zbudujcie. Niszczyć każdy potrafi, nieważne czy “zdolny dzieciak z komputerem” czy “kibol”. W tych swoich deface’ach próbujecie udowodnić swoje umiejętności, oczekujecie podziwu i szacunku, a to co robicie to tylko dziecinada, za którą należy się wam co najwyżej cios rózgą przez pośladki i dwie godziny w kącie, twarzą do ściany. Skoro potraficie znaleźć luki w systemach to co wy na to, żeby je łatać? A może zróbcie nowy system, najlepiej open source?

    A może robienie czegoś dobrego jest po prostu nudne? “Bo laski wolą czarne charaktery”.

    • Okey, mam pełen dostęp do strony X (dane administratora, dane do bazy danej, dane do serwera, dane do konta facebook matki administratora). Kontaktuje się z właścicielem strony X aby zgłosić ten fakt – oczywiście z nastawieniem przyjaznym, grożenie nie wchodzi w grę. Co mi z tego przychodzi? Kończy się to zazwyczaj dwiema opcjami:
      1) Olewają mnie, mają mnie za przeproszeniem w dupie.
      2) Zgłaszają fakt na prokuraturę, po czym policja nie jest w stanie mnie znaleźć.
      Jakiś miesiąc temu odbyłem rozmowę z administracją jednego z większych polskich portali z newsami technicznymi/informatycznymi – początkowo zaproponowano mi dłuższą współpracę, jednak w efekcie końcowym totalnie mnie olano. Chociaż mam nadal dostęp do tego portalu, jakoś go nie rozwaliłem, bo nie jestem “czarnym charakterem”.

      Jednak masz rację, ale tylko w przekonaniach, gorzej wprowadzić je w życie. Mniej jednak na uwadze, że to nie jest nasza wina, lecz wina twórców stron – to oni nie chcą współpracować.

    • Zdradź nazwę tego serwisu.

    • Piotrze, niech to pozostanie portalem X ;)

    • AVE…

      @Kotecek
      To dlatego, że im wchodzisz na ambicję ukazując im ich własne nieudolności. Nie czułbyś się cokolwiek wkurzony, gdyby jakiś anonimowy koleś napisał do Ciebie maila z informacjami co, gdzie i jak skopałeś? Zwłaszcza jeśli sam byś nie wiedział o możliwości istnienia problemu i nie rozumiał, jak go usunąć? Ludzie nie lubią być krytykowani za swoją pracę, nawet jeśli ich dzieła są żałośnie kiepskie i podatne na ataki. Z nimi nigdy się nie dogadasz. Lepiej gadać z ich szefami. Albo potajemnie załatać dziury za nich, choć kto by robił za darmo coś, za co powinni mu płacić…

      @Kalafior
      Tych systemów open source jest tyle, że większość z nich do niczego się nie nadaje. Po co tworzyć kolejny? Zresztą i tak połowa serwerów Microsoftem ciągnie. Ponadto po co robić coś za darmo, skoro można na tym zarobić? A ludzie łamią zabezpieczenia i wyszukują luki dla własnej satysfakcji i dla poszerzania wiedzy. Co zresztą Kotecek i inni mogą potwierdzić…

    • @Kotecek

      Jestem świadom, że tak działają relacje z serwisami. Nie jesteś pierwszy, ani ostatni który został tak potraktowany. Pycha i nieumiejętność przyznawania się do błędów są stare jak sam człowiek. To wcale jednak nie oznacza, że masz prawo dewastować każdą stronę, w której znalazłeś lukę. Olali Cię? A może po prostu nie interesuje ich współpraca z Tobą? Niby w jaki sposób daje to Ci (lub komukolwiek innemu, kto znalazł podatność) prawo do zrównania ich strony/usługi z ziemią? Prawda jest taka, że nie dają żadnego prawa do takiego zachowania. Jeśli jest się człowiekiem zdrowym na umyśle i dojrzałym emocjonalnie, to znalezienie podatności wystarczy jako dowód własnych umiejętności i nauka. Problem w tym, że Ci którzy deface’ują strony to zakompleksione gówniarze próbujące rekompensować sobie własne braki.
      Cieszę się, że nie zdewastowałeś tej strony X, o której piszesz. Świadczy to o tym, że masz olej w głowie. Jesli zależy Ci na nauce, to się czegoś nauczyłeś. Jeśli zależy Ci na kasie, to ucząc się dalej zostaniesz ekspertem i znajdziesz dobrą pracę. Jeśli jednak czujesz potrzebę szukania dziur i naprawiania całego internetu – no to może masz problem z motywacją? Nie da się “naprawić świata” i wojowanie z tym, to zwykła niedojrzałość. Nie mniej, pozdrowienia dla Ciebie i “keep up the good work”.

      @Urgon: złamanie zabezpieczeń, a wykorzystanie ich do złojenia własciciela, poniżenia, wyrządzenia krzywdy moralnej i materialnej oraz popisanie się własnym gówniarstwem to dwie zupełnie różne rzeczy. Jesli złamiesz zabezpieczenie albo znajdziesz lukę, to moim zdaniem możliwości sa takie:
      1) Zgłaszasz autorowi oprogramowania lukę lub jeśli jest to open source, łatasz ją sam
      2) Zgłaszasz adminowi podatność i zostawiasz go samemu sobie.
      Jeśli będą chcieli skorzystać z Twoich umiejętności, to sami Ci to zaproponują. Jeśli nie, to nie zmusisz ich do tego, a wandalizmem tylko potwierdzasz niedojrzałość i głupotę.
      Widzisz lukę w moim rozumowaniu?

  17. Ja mam t30 1*2.0 i 1GB ram ale nie zamienił bym się bo lubię ten sprzęt. A mania rozrastania wszystkiego wynika z nieudolności programistów. W obecnym internecie wszystko się rusza miga świeci ale jakoś treści nie przybywa w takim tępie.

  18. A ja mam taką prośbę: jestem szczęśliwym posiadaczem komputera Pentium II 200 MHz z 128 MB pamięci i jakąś kartą na złączu PCI bez akceleracji. Czy tworzenie strony która działa bez zacięć na takim sprzęcie jest czymś skomplikowanym? Chyba nie, bo wszystko kiedyś działało jak błyskawica na takiej maszynie. Teraz nawet ArchLinux się na takiej nie chce uruchomić bo ma za mało ramu… Litości, programiści, poczytajcie sobie o notacji asymptotycznej, przypomnijcie sobie o tym, że istnieje coś takiego jak C++ (nie zmuszam was do nauki asemblera) i przestańcie tworzyć takie kobyły w “pajtonie” bo to jest trendi. Drodzy webmasterzy, nawet najgłupsza strona jaką tworzycie, choćby była statyczna jak nekrolog, i tak musi ociekać JSem, nie mówiąc już o stylowej animacji wykonanej w flashu, mimo iż wystarczyłby zwykły gif. Ulitujcie się nad biednym posiadaczem starego złomu, optymalizujcie choć trochę swoje witryny i sprawdzajcie jak one działają pod takim Celeronem. Może was to nie rusza, ale kiedyś to wy zostaniecie z kiepskim sprzętem bez kasy na wymianę podzespołów bo postęp technologiczny jest coraz szybszy, ceny coraz wyższe, a programiści coraz bardziej leniwi (“A co mi tam że coś działa w O(n^2) kiedy może działać w O(log n). Jak sie tnie to niech se nowy komputer kupi a nie na starym złomie z core i5 siedzi”). Dziękuję za uwagę, jeżeli też masz takie refleksje to wyślij ten tekst znajomemu :)

  19. @Piotr

    Problem tylko w części polega na lenistwie programistów. Ja na przykład strony tworzę głównie dla siebie, a jeżeli robię zlecenia za pieniądze, to i tak nie stanowi to mojego głównego źródła utrzymania. Mam czas, wobec czego mogę sobie pozwolić na strony dopracowane, zwarte, niewiele wymagające od sprzętu i eleganckie od strony kodu. Natomiast ktoś kto się chce utrzymać z webdeveloperki jest zmuszony jechać na gotowcach, WordPressach, różnego rodzaju opasłych frameworkach doprawionych megabajtami Java Scriptu i tak dalej. Po prostu takie są skutki działania tzw. rynku. Zleceniodawca, np. pan prezes ma z reguły świeżego laptopa z najnowszym procem, a przy tym ma centralnie czy strona się np. waliduje i w czym jest zrobiona, natomiast ma “robić wrażenie” i być “na wczoraj”. W tej sytuacji webdeveloper albo jest efektywny czyli robi na szybkiego z gotowych elementów z grubsza je dopasowując, albo wylatuje z roboty, ewentualnie nie ma co jeść jeżeli jest freelancerem… Marże na rynku są niskie, więc żeby wyjść na swoje, trzeba “robić przemiał”.

    Odrębna sprawa to to jaką przeglądarkę możesz uruchomić na swoim komputerze. Technologie takie jak CSS czy HTML5 pozwalają na tworzenie stron lekkich, eleganckich, o ładnej strukturze i tak dalej. Ale jeżeli np. masz na swoim komputerze MSIE 6 albo jakąś antyczną wersję Firefoxa, nie wymagaj od webdeveloperów, nawet tych mających czas na dopieszczanie projektów, żeby obchodzili wszystkie niedoróbki i braki tych przeglądarek. Nie wiem czy na Twoim konfigu da się odpalić w miarę nowego FFoxa czy Chrome, ale jeżeli nie, to sorry ale nikt nie będzie pisał stron w HTML 3.2 dla Twojej indywidualnej przyjemności…

  20. Młodociani kozojebcy znów atakują. Nie ma to jak szukać rozgłosu korzystając z cudzej pracy. What a lam3!

  21. […] po podmianie strony Roberta Lewandowskiego, grupa JurassicSec najpierw opublikowała bazę danych użytkowników i dziennikarzy […]

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.