Воскресенье, 19.05.2024, 22:41
Приветствую Вас Незарегестрированный

[ Новые сообщения · Участники · Правила форума · Поиск · RSS ]
  • Страница 1 из 2
  • 1
  • 2
  • »
Форум » IT » WWW » Защита
Защита
HouseДата: Суббота, 22.12.2007, 06:57 | Сообщение # 1
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Как казаки TCP/IP-стек портили,или Краткий обзор DoS-атак для Windows-систем
В связи с массовым распространением сетей, построенных на основе TCP/IP, стали возникать всевозможные программы и методы для осуществления различных неправомерных действий в таких сетях. Очевидно, что наиболее распространенной платформой на сегодняшний день являются различные Windows-системы. Это Windows 95, Windows 95 OSR2, Windows 98, Windows NT 3.51, Windows NT 4.0. Старые 16-битные версии практически уже отошли в прошлое. Подавляющее большинство персональных компьютеров сегодня имеет одну из вышеуказанных систем. Поэтому рассмотрение некоторых аспектов безопасности этих систем будет интересно большинству читателей. А поскольку Windows NT позиционируется как серверная платформа, то данная статья может представлять интерес и для начинающих системных администраторов.

Безусловно, полное рассмотрение вопросов компьютерной безопасности является весьма сложной и нетривиальной задачей. Строго говоря, собственно технический аспект составляет важную, но небольшую часть обеспечения безопасности информации. Неправомерные действия в отношении компьютеров и компьютерных сетей можно разделить на различные группы. Например, по преследуемым целям можно выделить взлом с целью получения привилегированного доступа; взлом с целью похищения конфиденциальной информации и т.д. Особняком в этом ряду стоят действия, не влекущие никакой личной выгоды и представляющие собой просто вредительство, выведение систем из строя. По применяемым методам наиболее распространенными являются программы, использующие ошибки в системном программном обеспечении или сетевых протоколах.

Из всевозможных видов атак на WINDOWS наиболее распространены DOS-методы (DENIAL OF SERVICE, "отказ от обслуживания"). Возможно, что сравнительно небольшое количество других незаконных способов воздействия на WINDOWS-системы связано со значительно меньшим количеством стандартных сервисов, нежели в UNIX-системах.

NUKE

Нередко различные DOS-атаки называют общим термином "нюк" (NUKE). Одна из самых известных программ так и называется WINNUKE (см. ниже по тексту). Восстановим истину в этом вопросе. Существует метод атаки, называемый просто NUKE. Строго говоря, классический NUKE нельзя называть DOS-атакой. Идея основана целиком на документированных стандартах, а не на ошибках в конкретной реализации TCP/IP.

Суть классического NUKE в следующем. Для служебных целей в IP-сетях используется протокол ICMP (Internet CONTROL MESSAGE PROTOCOL, описание можно найти в RFC-1122). С этим протоколом мы встречаемся, например, когда используем программы PING и TRACEROUTE. Одной из возможностей ICMP является проверка наличия определенного адреса в Сети. В случае возникновения ошибки соединения возвращается достаточно подробная диагностика ситуации. Например: "Сеть недоступна", "Адрес недоступен", "Ошибка маршрутизации" и другие. Стандартные реализации TCP/IP-стека по приходе ICMP-пакета с извещением об ошибке производят определенные действия, в первую очередь перестройку таблицы маршрутизации и т.п. При этом, как побочный эффект, разрываются все установленные соединения с машиной, имеющей адрес, о котором стало известно, что он недостижим. На использовании этого эффекта и строятся диверсии.

Действительно, если знать, что компьютер с адресом X установил соединение с компьютером Y, и послать ICMP-сообщение об ошибке на компьютер X с исходящим адресом компьютера Y, то безусловной реакцией будет разрыв вышеупомянутого соединения. Для осуществления подобной атаки необходимо работать с IP на более низком уровне, нежели стандартные функции операционной системы. Подмена адресов в IP-пакетах имеет устоявшееся название "спуфинг" (от англ. SPOOFING - мистификация, обман). Практический эффект такого рода атаки невелик. Для ее осуществления необходимо знать, что два компьютера установили между собой соединение. Из этого следует, что средний пользователь, гуляющий по Сети, вряд ли столкнется с такой атакой. Диверсии более подвержены люди, которые долго подключены к определенным серверам. Например, любители разговаривать на IRC и WEB-чатах или играть в различные ON-LINE-игры (от MUD до новейших 3D-стрелялок). Классический NUKE является одним из древнейших инструментов ведения "военных действий" на IRC. Самое печальное, что простого противодействия этим атакам не существует.

WINNUKE

Вернемся все-таки к теме статьи. Начнем, конечно же, с широко известного WINNUKE, дата появления которого - 7 мая 1997 года. Автор метода поместил его описание и исходный текст программы в несколько NEWS-конференций. Ввиду крайней простоты метода каждый человек с IQ немногим большим единицы мог вооружиться новейшим оружием и пойти крушить направо и налево. Первой жертвой был www.microsoft.com. Этот сервер "лежал" более двух суток - в пятницу вечером (9 мая) он прекратил откликаться на обращения и только к обеду в понедельник вновь обрел устойчивость. Приходится только пожалеть его администраторов, которые на протяжении всего уик-энда регулярно нажимали волшебную комбинацию трех клавиш, после чего реанимированный сервер падал вновь. А может быть, после первых нескольких попыток оживить сервер их прекратили, кто знает... Конечно же, наряду с жертвой номер один в мае 97-го пали многие серверы, на которых красовалась надпись "windows nt powered", а также серверы и без оной надписи, но все-таки построенные на windows nt. К чести microsoft, следует отметить, что "заплатки" (patch) появились и стали доступны довольно быстро.

Дадим краткое техническое описание WINNUKE. Наряду с обычными данными, пересылаемыми по TCP-соединению, стандарт предусматривает также передачу срочных (OUT OF BAND, OOB) данных. Предназначаются они для передачи различной срочной информации по соединению, используемому для передачи обычных данных. На уровне форматов TCP-пакетов это выражается в ненулевом URGENT POINTER. На большинстве компьютеров с операционной системой WINDOWS, установленных в локальной сети, присутствует сетевой протокол NETBIOS, который использует для своих нужд три IP-порта: 137, 138, 139. Как выяснилось, если соединиться с WINDOWS-машиной через 139-й порт и послать туда несколько байтов OOB-данных, то первоначальная реализация NETBIOS, не зная, что делать с этими данными, попросту подвешивает или перезагружает машину. Для WINDOWS 95 это обычно выглядит как синий текстовый экран, сообщающий об ошибке в драйвере TCP/IP и невозможности работы с сетью до перезагрузки операционной системы. WINDOWS NT 4.0 без установленных SERVICE PACK перезагружается, NT 4.0 со вторым SERVICE PACK выпадает в синий экран (синий экран, говорящий о необработанном исключении в коде ядра, нередко называют "BSOD" - BLUE SCREEN OF DEATH). Судя по информации из Сети, такая атака фатальна и для WINDOWS NT 3.51, и для WINDOWS 3.11 FOR WORKGROUPS, и для WINFRAME (в основе находится WINDOWS NT 3.51). Официальные "заплатки" от MICROSOFT можно найти по адресам: ftp://ftp.microsoft.com/bussys....oob-fix - для nt 4.0 с service pack 2; ftp://ftp.microsoft.com/bussys....oob-fix - для nt 3.51 с установленным service pack 5; support.microsoft.com/download/support/mslfiles/vipup11.exe - для windows 95 с winsock версии 1.1; support.microsoft.com/download/support/mslfiles/vipup20.exe - для window95 с winsock 2.0 (service pack 3 для nt 4.0 уже содержит в себе исправление данной ошибки).

Хочется вспомнить достаточно забавную историю. Как выяснилось, вскоре после выпуска SERVICE PACK 3 для WINDOWS NT 4.0, WINNUKE, запущенный с компьютеров APPLE, легко пробивал защиту сервис-пака. Причиной тому послужило существование двух разных стандартов на IP-пакеты, содержащие OOB-данные. Есть стандарт от BERKLEY, а есть стандарт, описанный в RFC. Различие их состоит в том, что URGENT POINTER в двух реализациях вычисляется по-разному, и результаты отличаются друг от друга на единицу. SERVICE PACK 3, защищающий от "своих" OOB-пакетов, оказался беспомощным против пакетов другого стандарта. Поэтому почти сразу вышло дополнительное исправление: ftp://ftp.microsoft.com/bussys.....

Следует заметить: если для написания оригинального WINNUKE достаточно самых тривиальных функций работы с TCP/IP (программа на PERL занимает 7 строк), то для того, чтобы пробить защиту SERVICE PACK 3, требуется работать с TCP на низком уровне, либо запускать стандартный WINNUKE с платформы, поддерживающей другую реализацию OOB. Само существование OOB-данных, безотносительно к WINNUKE, вызывает достаточно много проблем именно из-за существования двух стандартов, вернее, из-за отсутствия стандарта. Поэтому гарантировать правильную работу программы, использующей OOB, не может никто. Многие умные люди рекомендуют вообще не использовать OOB-данные в своих программах. Собственно, обычно так и поступают. Поэтому весь смысл OOB сегодня - это наличие потенциальных "дыр", позволяющих злоумышленникам изобретать все новые и новые методы атак. Попросту постреляв OOB-данными по открытым TCP-портам, можно попытаться найти какую-либо новую "дырку" в очередной программе. Некоторым, говорят, это удается...

ICMP

Следующая широко известная ошибка обнаружилась буквально через месяц после нашумевшего WINNUKE (хотя атаки, основанные на схожей идее, были известны еще годом раньше). Объектом атаки на сей раз стал ICMP-протокол, точнее - его реализация. ICMP-протокол издавна привлекал любителей различных сетевых диверсий. Поскольку он является внутренним механизмом поддержки работоспособности IP-сетей, то, с точки зрения злоумышленника, является очевидным объектом атаки. В качестве одного из методов можно упомянуть PING с большим размером пакета, так называемый PING-FLOOD. Поскольку ICMP-пакеты имеют определенные привилегии в обработке, то PING большого размера может абсолютно парализовать работу конкретного компьютера или даже целой сети, IP-каналы которых будут передавать только ICMP-пакеты. Такой способ часто используется людьми, имеющими мощные каналы связи, против людей, располагающих более слабыми каналами. Метод этот, основанный на грубой силе, очевидно, не требует большого ума (точнее сказать, не требует никакого ума и, видимо поэтому, так любим молодыми сотрудниками различных провайдерских организаций). Защиты от него в общем случае не существует, самый распространенный метод реакции - установив адрес злоумышленника, написать жалобы куда только можно.

Следующим объектом нашего исследования будет более хитроумный метод, называемый SPING (JOLT, SSPING, ICENUKE, ICEPING, ICENUKE, PING OF DEATH...) Множество названий вовсе не означает наличия множества различных модификаций. Просто почему-то разные люди назвали один метод разными именами, и встретить программу можно под всеми вышеперечисленными названиями. Как выяснилось, WINDOWS-системы неадекватно реагируют на получение сильно фрагментированного ICMP-пакета (кусочками до одного килобайта) большого размера (на пару байт больше 64 килобайт). Реакция заключается в безоговорочном "повисании". В конце июня 1997 года жертвой SPING пал многострадальный сервер компании MICROSOFT, после чего его окончательно закрыли каким-то хитрым экраном.

В отличие от WINNUKE, жертвами SPING могут стать не только WINDOWS-системы, но и MAC OS и некоторые версии UNIX (заплатки, к счастью, имеются уже для всего).

Официальная "заплатка" от MICROSOFT для NT 4.0 с установленным SERVICE PACK 3 (далее везде по тексту будет подразумеваться, что NT 4.0 имеет установленный SERVICE PACK 3) - ftp://ftp.microsoft.com/bussys....cmp-fix

Следует заметить, что атака данного типа намного серьезнее, нежели предыдущего, поскольку использует ICMP-пакеты, которые часто не фильтруются FIREWALL, а даже если и фильтруются, то, используя приемы SPOOFING, можно преодолеть такого рода защиту.

LAND

Следующий метод атаки, называемый LAND (по слухам, фамилия первооткрывателя была LAND), замечателен в первую очередь огромным количеством поражаемых систем. Кроме любимой народом (за наличие MINESWEEPER) WINDOWS NT, здесь и MAC OS, и множество UNIX (от бесплатных до серьезных), и такие экзотические системы, как QNX и BEOS, и даже многие аппаратные маршрутизаторы (в том числе и продукция фирм CISCO и 3COM). Практически для всех систем уже имеются исправления, хотя, конечно же, далеко не все установили их в систему.

В начале создания TCP-соединения посылается пакет с установленным флагом SYN. Нормальной реакцией на получение SYN-пакета является подготовка необходимых ресурсов для нового соединения, посылка SYN-ACK пакета (подтверждение) и ожидание реакции с другой стороны. В случае, когда реакция отсутствует определенное время, SYN-ACK пакет передается повторно несколько раз, как правило, с увеличивающимся периодом задержки. Очевидным методом атаки, использующим вышеописанный механизм, является классический SYN-FLOOD, заключающийся в следующем. На компьютер-жертву посылается множество SYN-пакетов с искаженными адресами отправителя. Компьютер-жертва тратит массу своих вычислительных ресурсов на попытки подтвердить соединения с абсолютно ничего не подозревающими или даже с несуществующими компьютерами. При достаточно большом количестве фальшивых запросов ресурсы компьютера-жертвы могут быть исчерпаны, а все другие процессы в системе будут просто заморожены, либо аварийно завершены, либо будут "сброшены" все имеющиеся TCP-соединения. Но это очень старый метод, основанный на грубой силе. Механизм работы LAND хитрее: посылается SYN-пакет с адресом отправителя, совпадающим с адресом получателя, жертвы. Пакет посылается на любой открытый порт. Для WINDOWS-систем это почти всегда может быть 139-й порт (старый знакомый по WINNUKE). Для других систем это может быть любой известный порт (21-й, 80-й и др.). Реакцией WINDOWS-компьютера на LAND является абсолютное "зависание".

Официальный ответ MICROSOFT для WINDOWS NT 4.0 на данный способ диверсии - ftp://ftp.microsoft.com/bussys..... Для других операционных систем "заплатки" могут быть найдены на сайтах компаний-производителей.

TEARDROP

Найденный в том же многострадальном 97-м году метод атаки TEARDROP основан на ошибках в реализации TCP/IP-стека. Подверженными такой атаке оказались WINDOWS-системы, а также компьютеры с установленным LINUX.

"Заплатка" MICROSOFT для WINDOWS NT, появившаяся достаточно быстро, - ftp://ftp.microsoft.com/bussys..... Строго говоря, эта "заплатка" предназначалась для защиты от другого типа атак. Метод заключался в посылке большого количества udp-пакетов с искаженным адресом отправителя на 19-й порт, что приводило к повышению udp-трафика. Фурора, подобного появлению winnuke, произведено не было, возможно потому, что общественное мнение свыклось с регулярным возникновением новых dos-атак. Тем не менее teardrop отличается тем, что стал первым в семействе себе подобных клонов (об этом будет рассказано ниже). Также teardrop является прекрасной демонстрацией того, что любые программы, даже состоящие из нескольких строчек, содержат ошибки. Совершим небольшой экскурс в тайны реализации tcp/ip-стека.

Поскольку передача данных в IP-сетях производится не в идеальной среде, а по вполне реальным каналам различного качества, то естественно, что в стандарт заложили возможность передачи больших пакетов фрагментами, которые на принимающей стороне преобразуются в исходный пакет. Речь идет о том, что некий единый пакет на уровне TCP- или UDP-протоколов может быть фрагментирован на уровне IP - протокола более низкого уровня. При этом каждый фрагмент будет характеризоваться смещением от начала исходного пакета и своей длиной. Драйвер TCP/IP-стека собирает все фрагменты на принимающей стороне до тех пор, пока не получит их все (или, во всяком случае, пока не решит, что принял их все). Безусловно, при передаче возможны различные ситуации, которые "умная" реализация TCP/IP должна понимать. В частности, может оказаться, что несколько полученных фрагментов будут пересекаться. Нас интересует ситуация, когда очередной фрагмент имеет смещение, лежащее внутри уже полученного фрагмента. Что же происходит в этом случае? Прежде всего вычисляется размер пересечения. А затем в буфер копируется только та часть нового фрагмента, которая "выступает за границу" старого фрагмента. Все просто и очевидно, за исключением того, что возможна еще одна нестандартная ситуация. А именно - когда новый фрагмент не только начинается внутри старого, но и оканчивается в нем же. По идее, такой фрагмент должен быть просто пропущен, но как раз такую возможность программисты, писавшие WINDOWS NT и LINUX, и не предусмотрели. Что же происходит в результате? Пусть у нас есть уже полученный фрагмент A, начинающийся с A_OFFS и имеющий длину A_LEN. Затем пришел новый фрагмент B, начинающийся с B_OFFS и с длиной B_LEN. Причем A_OFFS (A_OFFS + A_LEN), то есть фрагмент B лежит внутри фрагмента A. проследим действия принимающей стороны по шагам. начало нового фрагмента лежит внутри имеющегося. хорошо! пересекающаяся часть: ((A_OFFS + A_LEN) - B_OFFS). а тот кусочек, что нужно добавить в буфер, начинается с (A_OFFS + A_LEN) и имеет длину ((B_OFFS + B_LEN) - (A_OFFS + A_LEN)). о-ля-ля! длина-то меньше нуля! если вспомнить о машинной зацикленной арифметике, легко понять, что в результате будет скопирован очень большой блок памяти. при этом будет уничтожено все попадавшееся на пути (обычно на пути попадается операционная система). собственно, вышеописанное и есть TEARDROP ("слезинка", англ.). объяснение, приведенное выше, абсолютно верно для LINUX, поскольку его исходный код открыт. но, вероятно, аналогичный механизм делает и WINDOWS NT потенциальной жертвой для TEARDROP-атаки.

Позже возникло несколько модификаций TEARDROP, которые были способны пробивать WINDOWS NT с установленной против обычного TEARDROP "заплаткой". Известность получили BONK (BOINK), NEWTEAR, SYNDROP. Все эти атаки закрываются одной "заплаткой": ftp://ftp.microsoft.com/bussys..... Наиболее оригинальным оказался метод syndrop. По сути, он представляет собой оригинальный teardrop, с тем отличием, что в посылаемых фрагментах устанавливается syn-флаг (снова этот излюбленный флаг).

После TEARDROP наступило достаточно продолжительное затишье. То ли ошибок стало меньше, то ли сообщать о них не торопились... Но вот осенью 98-го возникла очередная волна атак на WINDOWS-системы. Наиболее нашумевшим фактом, конечно, стало появление BACKORIFICE. Описание сего продукта не совпадает с темой статьи, но эту новость тяжело обойти.

Новая атака не влечет за собой фатальных последствий типа "зависания" или перезагрузки, но способна вызвать существенную загрузку процессора и повышенный сетевой трафик. На сей раз объектом нападок стала реализация RPC-протокола в WINDOWS NT. Идея чрезвычайно проста: в 135-й порт посылается некая "левая" датаграмма с адресом отправителя, измененным на адрес другой NT-машины. Реакцией атакуемой машины будет посылка REJECT-пакета на подмененный адрес.

Другая NT-машина ответит не менее гневным REJECT-пакетом, после чего такой пинг-понг будет продолжаться некоторое время, до тех пор, пока неправильный пакет не будет уничтожен как устаревший. Понятно, что посылая совсем небольшой поток фальшивых датаграмм, можно практически парализовать работу сети и заставить компьютеры тратить значительную долю своих вычислительных ресурсов на обработку RPC-ошибок. Изощренный злодейский ум может легко додуматься до простой модификации метода, при которой на несколько компьютеров посылаются поддельные UDP-пакеты с одинаковым адресом отправителя. В этом случае пинг-понг превращается в массированную артиллерийскую атаку несчастной жертвы.

Доступно исправление, после которого WINDOWS NT внимательнее относится к ошибочным RPC-пакетам и не спешит с ответной реакцией на них (FTP://FTP.MICROSOFT.COM/BUSSYS/WINNT/WINNT-PUBLIC/FIXES/USA/NT40/HOTFIXES-POSTSP3/SNK-FIX/SNK-FIXI.EXE).

135-й порт довольно давно зарекомендовал себя в качестве слабого места NT-платформы. Известна очень старая атака, заключавшаяся в посылке в этот порт нескольких строчек текста, что приводило к постоянной стопроцентной загрузке процессора. Спасал только перезапуск операционной системы. К счастью, эта "дырка" была закрыта в SERVICE PACK 3.

Идея же небольшого потока фальшивых пакетов используется во многих методах атаки. Например, знаменитый SMURF, который, по слухам, был использован против крупнейшего украинского Интернет-провайдера. Некий "веселый" сотрудник одного из московских провайдеров смог на несколько дней парализовать работу практически всего украинского сегмента Интернета. Описание механизма работы SMURF в этой статье приводить не будем.

Заключение

На этом список широко известных DOS-атак на TCP/IP-стек WINDOWS-систем заканчивается. Что принесет нам будущее - неясно, внушает оптимизм лишь то, что чем больше ошибок находят и исправляют, тем меньше их остается. Конечно, при условии, что эти исправления сами не привносят новых ошибок.

Процедура установки всех "заплаток" для WINDOWS NT 4.0 с SERVICE PACK 3 давно превратилась в нетривиальное занятие, поскольку их количество исчисляется уже несколькими десятками, и порядок "латания" системы нередко имеет большое значение. Существует опасность установить "заплатки" в такой последовательности, что операционная система окажется в нерабочем состоянии. Следует отметить, что "заплатки" от DOS-атак, как правило, выпускались кумулятивными, то есть последняя "заплатка" содержала в себе все предыдущие. По крайней мере, это касается WINNUKE, SPING, LAND и TEARDROP с модификациями.

WINDOWS 95 также имеет кумулятивные исправления: support.microsoft.com/download/support/mslfiles/vipup11.exe, ftp://ftp.microsoft.com/softlib/mslfiles/vipup11.exe для winsock 1.1; support.microsoft.com/download/support/mslfiles/vipup20.exe; ftp://ftp.microsoft.com/softlib/mslfiles/vipup20.exe для winsock 2.0.

После этих исправлений следует поставить support.microsoft.com/download/support/mslfiles/vtcpup11.exe, ftp//ftp.microsoft.com/softlib/mslfiles/vtcpup11.exe для winsock 1.1; support.microsoft.com/download/support/mslfiles/vtcpup.exe, ftp://ftp.microsoft.com/softlib/mslfiles/vtcpup20.exe для winsock 2.0, которые закроют систему от land-атак.

WINDOWS 98 пока выглядит непоколебимой перед DOS-атаками.

Последнее замечание по технической стороне вопроса следующее. Программы для осуществления перечисленных видов атак по иронии судьбы, как правило, не реализованы для WINDOWS-платформ. Причина этого в том, что WINDOWS-реализация интерфейса сокетов не в полной мере соответствует общепринятому стандарту. При этом лишь для WINNUKE достаточно использования простейших системных процедур работы с сокетами. Остальные методы требуют непосредственной работы с заголовками IP-пакетов, для чего необходимо использовать не потоковый или датаграммный сокет, а так называемый "сырой" (SOCK_RAW, если в терминах констант). WINSOCK 1.1 попросту не поддерживает RAW-сокеты. Они появились в WINSOCK 2.0, но и тут потенциальных злоумышленников ждало разочарование, "сырые"-то они "сырые", но возможности менять заголовок так и не появилось. Соответствующая процедура просто не была реализована. Для того чтобы все-таки использовать WINDOWS в качестве платформы для атаки, необходимо создавать свой NDIS-драйвер, который, перехватывая все IP-пакеты, открывал бы доступ к их внутренней структуре, но, к счастью, люди, обладающие необходимой для этого квалификацией, находят для себя более интересные занятия.

В заключение приведем выдержку из Уголовного кодекса Российской Федерации, соответствующую тематике:

Статья 273:
1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами - наказываются лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев.
2. Те же деяния, повлекшие по неосторожности тяжкие последствия, - наказываются лишением свободы на срок от трех до семи лет.




 
HouseДата: Суббота, 22.12.2007, 06:58 | Сообщение # 2
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Собственно, это статья о трех больших проблемах в безопасности подавляющего числа "самодельных" скриптов.

1. Возможность SQL-injection. Внимательно изучите этот кусок кода (PHP):

$conn = mysql_connect("localhost", "zz", "zz");
mysql_select_db("test", $conn);

$sql = "SELECT adminpwd FROM data WHERE login='$login' ";
$a = mysql_query($sql, $conn);
$z = mysql_result($a, 1);

...

Допустим, скрипт называется script.php и параметр login передается ему в виде script.php?login=ssss . Вы видите, что параметр login никак не проверяется. А что будет, если вместо login=admin передать login='admin ? Будет ошибка SQL-запроса, ведь к базе данных передается запрос SELECT adminpwd FROM data WHERE login=''admin' .

В такой ситуации злоумышленник может исполнить любой SQL-запрос (использовав, например union).

Защита от этого предельно проста: использовать функцию mysql_escape_string($string);

2. Возможность исполнения произвольной команды. Необходимо всегда проверять включаемые файлы, особенно не рекомендуется использовать include($inc), если переменная $inc передается через адресную строку.

3. Возможность переопределения переменных. Возьмем такой пример:

$file=file("zz.txt");
$cc=count($file);
$c = 0;
while($c < $cc) {
$f .= $file[$c++];
}

...

?>

Допустим, что $f в конце цикла содержит какую-нибудь важную информацию из файла. Или, что еще хуже, она исполняется командой cmd($f);

Так как переменная $f не определена в начале скрипта (должно быть $f="";), то ее начальное значение может определить пользователь (введя в адресной строке что-нибудь вроде script.php?f=ddddd).

В зависимости от важности переменной $f будет варьироваться вред, который сможет причинить злоумышленник. Если, конечно, он угадает название переменной и ее значение.



 
HouseДата: Суббота, 22.12.2007, 06:58 | Сообщение # 3
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Целесообразность защиты информации
В наш 21 век все большую роль в любой сфере жизни человека приобретает информация. И потому этому веку суждено стать «информационным». Нематериальная составляющая производственных процессов несет в себе информационную компоненту, которая в любом производстве с течением времени заметно возрастает. Вместе с этим следует акцентировать внимание на вопросе о защите информации. Но прежде, чем установить защиту, нужно определить степень важности и значимости этой информации.
Домашний пользователь не станет применять криптографические меры с целью уберечь скрытую информацию от посторонних лиц. Даже, если у него и есть такая информация, максимум, он может ограничиться маскировкой личных файлов или установкой пароля на систему, более «продвинутые» пользователи применяют пароли или шифры к конкретным каталогам с ценной информацией.

Малые предприятия также используют систему паролей. Доступ к ценной информации разрешен, естественно, только обладателям паролей. Часто в целях предотвращения утечки информации персонал фирмы лишается возможности ее копирования на гибкие и лазерные диски из-за отсутствия соответствующих дисководов в системном блоке. Однако, выходом из такого положения может стать флэшка, подключаемая к USB- порту. Следует упомянуть о коммерческой тайне, которую обязан блюсти каждый работник предприятия. Об ее эффективности лучше промолчать, так как эта мера в действительности шаткий барьер на пути к добыче ценной информации.

Крупным компаниям, особенно разработчикам продукции, в условиях непрекращающейся конкуренции в господствовании на различных рынках недостаточна система ограничения доступа. Такие компании нуждаются в комплексных мерах защиты информации. В этот комплекс входят криптографическая, физическая, электромагнитная и другие типы защиты, в том числе человеческий фактор. Выстраивая комплексную защиту, всегда нужно помнить о принципе «слабейшего звена», который утверждает, что устойчивость всей системы защиты равна устойчивости ее слабейшего звена. Принимая меры по защите той или иной информации, следует подумать, а имеет ли это смысл. Прежде всего - с экономической точки зрения. Например, известная компания Microsoft тратит много средств на защиту своего программного продукта. Тем не менее, качество выпускаемой продукции, разумно построенная система защиты информации позволяют оставаться ей лидером на рынке программных продуктов. Но абсолютно надёжной защиты не существует. Это должны помнить все, кто организует защиту информации. Любую защиту можно преодолеть. Но лишь «в принципе». Это может потребовать таких затрат сил, средств или времени, что добытая информация их не окупит. А значит, надежной признается та защита, преодоление которой потребует от противника затрат, значительно превышающих ценность информации. Таким образом, руководитель любого предприятия, будь то малого, среднего или крупного, должен руководствоваться следующим принципом – на защиту информации потратить средств не свыше необходимого.



 
HouseДата: Суббота, 22.12.2007, 06:59 | Сообщение # 4
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Манифест Хакера
Сегодня поймали ещё одного, это во всех газетах.

"Подросток Арестован за Компьютерное Преступление", "Хакер Арестован за Ограбление Банка"... Проклятые дети. Они все одинаковые.

Но ты, со своей трёх частичной психологией и техноразумом 1950-х, когда-либо смотрел позади хакерских глаз? Ты задумывался, чем он живет, какая сила формирует его, что движет им?

Я хакер, войди в мой мир... Этот мир зарождается ещё в школе. Я умнее большинства других детей, это дерьмо, которому они учат нас, надоело мне... Проклятый двоечник. Они все одинаковые.

Я в младшей высшей или высшей школе. Я слушал объяснения учителя 50 минут, как сокращать дробь. Я понимаю это. "Нет, Миссис Смит, я не покажу мою работу. Я сделал ее в уме..." Проклятый ребёнок. Вероятно, списал ее. Они все одинаковые.

Я сделал открытие сегодня. Я нашел компьютер. Подожди секундочку, это круто. Он делает то, что я хочу. Если он делает ошибку, это потому что я запутал его. Не потому, что я ему не нравлюсь... Или он чувствует угрозу во мне... Или думает, что я интеллектуальная задница... Или не любит учение и думает, что оно может быть здесь... Проклятый ребёнок. Всё, что он делает - играет в игры. Они все одинаковые.

И потом случилось это... дверь открылась в мир… мчащийся по телефонной линии, подобно героину по венам наркомана, электронный импульс послан, убежище от повседневной некомпетентности найдено... сообщество найдено.

"Это оно... это то, к чему я принадлежу..." Я знаю каждого здесь... даже если я никогда не встречал его, никогда не говорил с ним и, возможно, никогда больше не услышу о нем... Я знаю вас всех... Проклятый ребёнок. Снова занял телефонную линию. Они все одинаковые.

Вы бьётесь об заклад своей задницей, что мы все одинаковые... мы были накормленными с ложки младенцами в школе, когда мы же мечтали о бифштексе... куске жёванного и безвкусного мяса, который вы выронили. Мы были подавлены садистами или игнорируемы равнодушными. Немногие, имевшие чему научить, нашли в нас желанных учеников, но они подобны каплям воды в пустыне.

Сейчас это наш мир... мир электрона и переключателя, красота бода.

Мы используем существующие службы без оплаты за то, за что можно было заплатить по дешёвке, если бы это ни было сделано корыстными обжорами, и вы зовете нас преступниками.

Мы исследуем... и вы зовете нас преступниками. Мы ищем знание... и вы зовете нас преступниками. Мы существуем без цвета кожи, без национальности, без религиозных предубеждений… и вы зовете нас преступниками.

Вы создаёте атомные бомбы, вы ведёте войны, вы убиваете, обманываете и лжете нам и пытаетесь заставить нас поверить, что всё это для нашего собственного блага, и все-таки мы преступники.

Да, я преступник. Мое преступление - любопытство. Мое преступление - судить людей по их словам и мыслям, а не по внешности. Мое преступление - перехитрить вас, сделать то, за что вы никогда меня не простите.

Я хакер, и это - мой манифест.

Вы можете остановить меня, но вы не можете остановить нас всех... в конце концов, мы все одинаковые.




 
HouseДата: Суббота, 22.12.2007, 07:00 | Сообщение # 5
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Наполнение сайта и авторское право
Многие владельцы веб-сайтов, уже существующих и еще разрабатываемых, приходят к мысли о необходимости сайта разными путями. Кому-то просто необходимо продвинуть продукцию своей фирмы, к примеру, на весь рунет, и самый оптимальный способ исполнить такой номер - организовать он-лайн магазин, для доступа к которому достаточно выйти в Интернет. Кто-то рекламирует свою торговую марку - в этом случае создать и раскрутить имиджевый или промо-сайт - разумное и закономерное решение. Информационные сайты, и, в частности, новостийные он-лайн газеты пользуются все большей популярностью - интернетчики, которые проводят большую часть как рабочего, так и свободного времени за компьютером, имеют возможность получать информацию о том, что происходит в мире, и не чувствуют себя ущербными от того, что нет времени смотреть новости по телевизору или читать печатные издания.
Количество сайтов в сети растет даже не с каждым месяцем - с каждым днем, появляются интересные проекты, достойные и качественные, имеющие свою целевую аудиторию, предоставляющие востребованный контент - информацию, услугу или продукцию.

Так же в последние годы модно стало создавать свои домашние страницы - homepage. При наличии минимальных знаний о веб-дизайне и большого количества сервисов, предоставляющих бесплатных хостинг, разместить свою домашнюю страницу в сети может каждый школьник. О содержании и оформлении большинства таких сайтов мы говорить не будем - бесспорно, встречаются среди малобюджетных проектов великолепно оформленные домашние страницы с прекрасным дизайном и интереснейшим (широкому или узкому кругу посетителей) контентом, однако в основном это творения "без претензий", расчитанные на узкий круг друзей и членов семьи, семейные и дружеские фотоальбомы, личные дневники. И, даже если на таком сайте автор использует чудовищную цветовую гамму, а основной текст не читается на непоходящем фончике, фотографии любимого попугайчика весит полтора мегабайта, а содержание изобилует косноязычием и орфографическими ошибками - даже в этом случае это всего лишь проблема автора сайта, никакого ущерба окружаемому миру не приносящая.

Постоянные читатели нашей рассылки помнят один из выпусков прошлого года, в котором мы довольно критично оценили высказывание одного популярного сетевого автора - в своей книге о продвижении сайта он писал о том, как легко "придумать и раскрутить свой веб-проект": для этого (по словам автора) требуется:

иметь желание раскрутить проект,
создать сайт
придумать, чем этот сайт наполнять.
Именно наслушавшись (начитавшись) подобных рекомендаций многие начинающие сайтостроители, переполненные амбициями и уверенностью в своих силах создают свои сайты, ввиду отсутствия планового бюджета проекта размещают созданные шедевры на пощадках с бесплатным хостингом, а потом - потом как раз и задумываются о том - чем же наполнять их родимые сайты? Ответ для них лежит на поверхности - интернет велик, информации в нем великое множество, бесконечный источних контента! И, благополучно освоив великую комбинацию клавишь для Copy/Past, хозяева новоявленного супер-сайта наращивают количество страниц своей хомепейдж в полной уверенности, что делают благое для всего Интернета дело, и без их трудов сеть обеднеет. Не просвещенные, поленившиеся ознакомится о том, как к защите авторских прав относится законодательство, не знакомые с рядом рунетовских прецедентов - когда за ворованный дизайн или статьи - даже без обращения к официальному законодательству - плагиатщики жестоко наказывались как злоблением рунетовского сообщества, так и обращением к хостерам с требованием прекратить безобразие и наказать воров - и незадачливые владельцы подобных веб сайтов учились на собственных ошибках тому, что чужое брать - нехорошо!. Я же хочу предостеречь вас от подобных ошибок, рекомендую учиться на чужом опыте, поскольку - игнорируя как определенные законом, так и условно объявленные рунетовским сообществом правила - вы можете создать себе крайне негативную репутацию, которая, скорее всего, сослужит вам печальную службу в дальнейшем - если вы будете продолжать или развивать свой веб сайт в сети.

Грубо говоря: если вам нечего сказать - не торопитесь с размещением сайта в сети, а тем более с его продвижением. Если вам есть что сказать - тщательно продумайте - зачем, для кого и как вы озвучиваете информацию. Если у вас недостаточно этой информации для того, чтобы покорить просторы интернет - подождите с раскруткой, наработайте содержание сайта, рационально используйте свои таланты и интеллект. Интернет мобилен, радушен и коммуникабелен. В Интернете все хотят сотрудничать - и, в том числе - обмениваться информацией, помогать в продвижении услуг, и - соблюдая элементарные правила сетевого этикета, вы несомненно найдете свою целевую аудиторию, партнеров и поддержку, вы добьетесь успеха!

Наши последние материалы были посвящены вопросам раскрутки сайтов, и - если ваш сайт предоставляет действительно уникальный контент - не важно, будут это фотографии или рисунки, статьи на околокомпьютерные темы или рассказы о жизни, вы всегда найдете поддержку, получите советы от экспертов, от профессионалов - как раскрутить ваш сайт, как сделать его популярным, однако - как быть, если все, на что вы способны - это сварганить нечитабельное нечто на таком бескорыстном хостинге narod.ru, скопировать с первого попавшегося вам на глаза сайта несколько статей, подписать их торжественно: "подготовила Вася Пупкина" и с чувством выполненного долга написать на главной странице своего шедевра "Я накоец-то снизошла на обновления... Воть, новые статьи:" - вряд ли такие потуги будут успешными, не думаю, что ваши действия будут одобрены рунетовским сообществом.

Не так давно среди народовских сайтов был обнаружен очередной такой вот homepage, большая часть информации была примитивно украдена у довольно известных в рунете авторов. И, хотя статьи были преимущественно о дизайне и веб-дизайне, похоже, автор(-ша) проекта даже не удосужилась прочесть их, поскольку сайт просто таки противоречит базовым нормам дизайна - текст публикуется черным цветом на темно-лиловом фоне, что к минимуму сводит "читабельность" опубликованной информации, а верстка - хоть и не фронтпейджем собранная, а более продвинутым DreamWeaver`oм, настолько тяжела и безграмотна, что скорость загрузки страниц возростает до неимоверного времени (и, практически никто не сомневается, что виноват во всем, конечно же, пресловутый "тормознутый народовский сервер", конечно же...).

Даме было послано письмо (на указанный в контактах сайта мейл, в котором - вполне вежливо (ошибся человек, с кем не бывает, не ошибается тот, кто ничего не делает) и популярно было сказано следующее: "Я наблюдаю на вашем сайте http://www.....narod.ru/ ряд моих статей, которые, почему-то не содержат ни подписи автора, ни ссылки на первоисточник. Если Вы - новичек в РуНете - я настоятельно рекомендую исправить эти ошибки и поставить ссылки на автора и на первоисточник статей: [далее шел список статей, в которые надо было бы внести изменения с указанием автора и ссылки на первоисточник]..." Предлагалось в этом обращении так же удалить статьи с сайта в случае, если добавить авторскую информацию по каким-то причинам невозможно. Однако преисполненная гордости за свой шедевр владелица сайта ответила весьма неожиданно грубо:

Нет... меня всегда убивает... Некоторые пишут мне на мыло, говоря, что их статьи находятся на моем сайте, без подписи источника! А вы представьте как тяжело установить первоисточник? Тем более если на разных сайтах одни и те же стать подписаны разными именами? Мне что писать всех их авторов?! Еще забавно когда мне пишут разные "авторы" и претендуют на их подпись одной и той же статьи! Это все просто доходит до абсурда! Мне не лень написать ссылку, я не собираюсь присваивать статьи себе, но вы уж там сами разберитесь кому что принадлежит и только тогда качайте свои права!

Вот ведь какой труд - вы представляете! - найти и указать автора статьи? Действительно - зачем? А зачем вообще публиковать статьи, написанные другими, если лениво хотя бы спросить предварительно разрешение на публикацию? Зачем вообще брать чужое без разрешения - ведь в нашем обществе вообще такое поведение осуждаемо в любых сферах, в любом возрасте? Согласитесь - если у вас дома не хватает кресла - вы же не приходите - в магазин ли, или к знакомым/незнакомым людям, не забираете их мебель, чтобы вам удобнее жилось? Вам придется либо заплатить деньги (если вы пришли в мебельный магазин), или же вежливо попросить (если у ваших знакомых есть возможность помочь вам), в любом случае если вы нарушите социальные нормы и тихонько "уведете" кресло, не заплатив владельцам магазина или не уведомив (как минимум) ваших знакомых - ваши действия будут оценены однозначно, как воровство. Однако многие владельцы сайтов не только не считают свои действия предосудительными, когда речь идет об информации в сети, но и в случае, когда автор обнаруживает факт несанкционированной перепечатки и просит хотя бы указать авторские реквизиты в подписе к статье - пытаются поставить автора на место. Вообще в данном конкретном примере - согласитесь - ответ был прислан крайне неуважительный - при условии, что письмо к дамочке начиналось с приветствия и заканчивалось лаконичной подписью - включающей имя/фамилию отправителя - в ответе - ни здравствуйте вам, ни вежливого обращения... Не понятно, кому она отвечала, в тексте письма присутствует только сомнительное личностное "некоторые..." Очень хочется в подобных ситуациях ответить грубо: "Если нет мозгов создавать свой уникальный контент - нефиг воровать чужие статьи!".

Однако дамочка, судя по всему, еще очень молода и безграмотна, и - поскольку жалобы на воровство контента поступили к ней из разных источников (о чем можно было прочесть в ее "гостевой книге") - репутацию она потихоньку создает себе такую, котора пользы не принесет ни ей, ни ее сайту. И это еще до первых санкций от хостера, а Яндекс очень дорожит репутацией ВСЕХ своих сервисов, в том числе и бесплатного народного хостинга, и - в пользовательском соглашении, которое я настоятельно рекомендую прочесть всем начинающим веб-мастерам, черным по белому написано о том, насколько щепетильно Яндекс относится к содержанию на народовских сайтах, в том числе и к нарушению авторских прав! Достаточно парочки жалоб на сайт дамочки в саппорт Яндекса - и ее шедевр прикажет долго жить. Впрочем - как и ее репутация. Потому и не публикую ссылки на ее сайт - все же удобнее думать, что человек ошибся, одумается и исправится, и - может быть когда-нибудь, когда она станет умнее, может быть, когда ее сайт будет предоставлять действительно интересную и уникальную информацию - даже мы в своей рассылке будем рекомендовать ссылку на ее проект нашим читателям... Вам же, дорогие мои читатели, настоятельно рекомендую учиться на чужих ошибках и никогда! не брать! чужое! без разрешения владельца! Мало ли, с кем вы столкнетесь и какие будут последствия... И в мейл-переписке - убедительно прошу - соблюдайте элементарные правила этикета, будьте взаимовежливы smile и тогда как рунетовское сообщество вообще, так и веб-дизайнерское в частном случае всегда будет вашим союзником и помошником.

Проблема защиты авторского права в рунете все еще остается под вопросом. Факт остается фактом - к сожалению, ценность любой авторской работы, выложенной в общедоступной сети, нивелируется легкостью ее копирования и тиражирования - эта проблема касается не только авторских статей, но и - в том числе - рисунков, фотографий, дизайнерских решений. Единственный способ защиты от воровства контента - ничего не выкладывать на веб-сайт, делиться своими мыслями/работами исключительно только в случае острой необходимости в кулуарах с друзьями и экспертами - конечно, смешно, однако в ином случае всегда будет вероятность того, что любая работа, которая появилась на сайте, будет скопирована и, возможно, использована в коммерческих целях другими пользователями Интернет.

Немного поразмыслим - какой же ущерб, кроме морального, может принести автору такое вот несанкционированное использование? Давайте представим себе следующую ситуацию: веб разработчик развивает свой проект, при этом позиционирует его, как "авторский". Ок? Этот проект в поисках подрядчика на разработку сайта находит потенциальный работодатель, видит на сайте разделы "портфолио" (со списком реализованных дизайнерских проектов), "резюме" (с описанием его опыта и все такое), "галереи" (с авторскими рисунками, в которых он демонстрирует различные техники), "статьи" (в которых он делится своим опытом, поскольку в некоторых областях веб-разработок считает себя экспертом). И тут наш посетитель обнаруживает в разделе "статьи" (на авторском сайте!) среди прочих текстов, которые автор объявляет, как написанные им (а для работодателя это может оказаться достаточно важным, т.к. он ищет эксперта в определенной области знаний), статью, которую сам работодатель совсем недавно читал на совсем другом сайте, и подписана эта статья была именем того самого пресловутого "Васи Пупкина", так беспечно разместившего текст статьи у себя (и за этот нелегкий труд подписавшего статью своим именем)... Дальнейшая логика работодателя:

А этот автор - вовсе и не автор никакой, он берет в интернете чужие тексты, и - как большинство других бестолковых републикаторов - просто перепечатывает чужое под своим именем.
А это означает, что он способен точно так же публиковать что угодно, скопированное откуда угодно, в любых разделах своего сайта и выдавать за "авторские" работы.
А это означает, что, по всей видимости - статьи в разделе "статьи" - не его, рисунки в разделе "галерея" - сперты с клипартов, а скриншоты сайтов в разделе "портфолио" - с незнамо чьего портфолио неизвестно какой студии?!
Такой мысленный монолог потенциального заказчика, естественно, придуман, однако нельзя недооценивать реальность такой ситуации, и в этом случае автор, кроме морального ущерба, может получить и материальный - не получив заказы от клиентов. В любом случае - проблема защиты авторских прав - не надумана, и, пока законодательство не предоставит достойных методов защиты продуктов труда - дизайнеров ли, фотографов, публицистов - автор по-прежнему будет уязвимым и бесправным. Самое смешное, что авторы, попадающие в ситуации, подобные описанной выше, при этом еще чувствуют себя ущербными и виноватыми перед всей интернетовской аудиторией. Довольно сложно объяснить, что чувствует автор, когда ему хамят в ответ на просьбу указать авторские реквизиты к статье, потому что его статьи - это могут быть украденные с какого-то сайта статьи, и там (на этом каком-то сайте) автор указан другой, что чувствует художник, когда ему говорят, что его работы - это украденные где-то работы и т.д...

В ответ на обсуждение этой проблемы по мотивам выпусков рассылки Библиотеки Сайтостроительства мне было высказано следующее замечание: "Вы можете сказать, что библиотеки для того и созданы, чтобы собирать всевозможную информацию. Это так. Но что мешает "любой Васе Пупкиной" назваться "библиотекой" и не иметь хотя бы моральных терзаний с формальной точки зрения..." Возможно, однако с формальной точки зрения *Владелица сайта, которая публикует на своем сайте тексты статей и подписывает своим именем ПОЗИЦИОНИРУЕТ СВОЙ ПРОЕКТ ВОВСЕ НЕ КАК БИБЛИОТЕКА - А КАК АВТОРСКИЙ ПРОЕКТ С АВТОРСКИМИ СТАТЬЯМИ* - разница существенная. И еще одно замечание. В приведенном примере речь шла о том, что без разрешения и авторских реквизитов был опубликован ряд статей об "основах веб-дизайна", однако ушлая владелица сайта даже не нашла времени, по всей видимости, прочесть тексты, поскольку свой сайт она сделала вопреки всем законам дизайна вообще и веб-дизайна в частности. Крайне низкая контрастность пары фон/текст (черные буквы на темно-фиолетовом фоне) и многие другие ошибки нарушают все основные правила юзабилити веб сайтов, и тем нелепее смотрелись статьи о дизайне в безумном оформлении неграмотной дамочки.

Итак - как же защищать продукт своего труда и есть ли возможность наказывать плагиаторов и воров? Предлагались различные варианты. В случае с рисунками и фотографиями - ставить на все имиджи авторский "водяной знак", тексты - техническими методами защищать от копирования (запрет на просмотр исходника документа, запрет на выделение и копирование текстов и т.д.). Как другие варианты, которые требуют неслабой возни по инстанциям и изредка - денег - регестрировать авторское право на каждую работу, статью или рисунок (смешно даже, право), предлагалось даже заверять у нотариуса копию статьи (однако вы в этом случае получите только лишь доказательство того, что в указанную дату вы были знакомы с текстом этой статьи, а вовсе не доказательство авторства).. Еще один классический способ, который предлагал А. Соколов: статья, макет, текст программы и т.п. на бумажном либо электронном носителе запечатывается и отправляется по почте себе же бандеролью либо заказным письмом. После получения хранится не распечатывая (в этом случае, опять же, вы всего лишь получите сомнительное доказательство того, что в указанную дату у вы были владельцем этого пакета с текстом статьи или что там вы хотели защитить. Впрочем, почта - учреждение государственное, и проштампованная на посылке дата может быть принята как значимый факт в, скажем, суде, в то время как ваш оппонент может указать только дату публикации этой статьи на своем сайте. Печать почтового отделения - признается любым судом)...

При всем этом следует знать, что авторство не требует никакой регистрации. По закону, автор является автором ПО ФАКТУ СОЗДАНИЯ произведения. Именно об этом написано в законе "Об авторском праве и смежных правах РФ". Законодательство об АП РФ повернуто в сторону Автора

Как можно наказать незадачливых републикаторов? Прежде всего стоит задать себе вопрос - оно вам надо? Стоит ли эта проблема потраченного времени и нервоd (а, возможно, и денег)? Если ответ - да, для начала попробуйте решить проблему мирно: напишите плагиатору письмо с предложением либо указать авторские реквизиты (имя, ссылку на первоисточник), либо убрать статью с его сайта. Если - как в примере сегодняшнего материала - вы получили наглый и хамский ответ (грубо говоря, были посланы подальше с вашими требованиями) - вы можете обратиться, к примеру, к хостерской компании, у которой размещен этот сайт (после введения некоторых последних поправок в закон об авторском праве оказалось, что провайдер также может понести ответственность за то, что закон нарушают клиенты, использующие его сервис). Постарайтесь грамотно описать проблему саппорту хостера - как правило в большинстве случаев администрация этих сервисов идет на встречу автору. Если вы не планируете обращаться в суд и не хотите писать письма в соответствующие инстанции, попробуйте вынести на суд рунетовской общественности деятельность плагиатора и вора - сайт ЕЖЕ.ру специально для этих целей сформировал доску позора плагиаторов, так же проблему можно обсудить на тематических форумах (впрочем такой черный пиар может только способствовать раскрутке вражеского сайта).

И еще - не забудьте проверить, возможно, они на своем сайте ссылаются на какие-то изображения, лежащие на вашем сайте. Можно немного потешить себя, заменив эти изображения, например, такими же, но с ярким текстом "тыренный контент", расположенным на картинке А у себя на сайте поставить ссылки на нормальные файлы. В качестве примера можно посмотреть, как это было реализовано в описанном примере:

Владелица сайта категорически отказалась указать автора статьи, объясняя свои действия тем, что она, якобы, не уверена, что эта статья написана именно этим автором. Однако небольшое исследование кода показало, что статья была скопирована из одного из разделов "Библиотеки Сайтостроительства" - причем в библиотеке она была опубликована по всем правилам - с указанием имени автора (и его актуального мейла) и ссылки на источник - авторский сайт. Однако лень дамочки не имела границ - она скопировала статью, указав в качестве img src к иллюстрациям статьи абсолютные пути на эти картинки в библиотеке. В общем, принято было решение в частном случае слегка наказать ее - причем не столько за сам факт воровства, сколько за упертость и хамство. Если бы она извинилась и поставила авторские реквизиты - и автор не был бы разозлен, и ей бы лучше было бы. В общем, сделана подмена картинок-иллюстраций к статье - вот скриншоты с ее сайта, как это выглядит на сегодняшний день, суббота, 16 июля 2005 года (скриншоты публикуются затем, чтобы оставить для истории методы борьбы с пиратами, поскольку скорее всего дамочка подмену содержимого картинок обнаружит и страницу со своего сайта уберет).

Подводя итог, еще раз повторюсь: господа, главный фактор успешного продвижения вашего сайта - грамотный и уникальный контент! И - будьте взаимовежливы, толерантны и корректны, учитесь признавать свои ошибки (при наличии оных) и стремитесь не допускать ошибок, подобных описанной в сегодняшнем выпуске. И - удачного вам сайтостроительства!



 
mugimanДата: Суббота, 22.12.2007, 20:01 | Сообщение # 6
-=Чемпион=-
Группа: Администратор
Сообщений: 948
Репутация: 13
Статус: Offline
искандер мы по идеи и сами плагиаты happy

слоны срут не мало!!!!!!!


 
HouseДата: Суббота, 22.12.2007, 21:14 | Сообщение # 7
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Quote (mugiman)
искандер мы по идеи и сами плагиаты

МЫ НЕ ПЛАГИАТОРЫ У НАС ПОРТАЛ А НЕ ИНФ СЛУЖБА wink



 
mugimanДата: Понедельник, 24.12.2007, 16:37 | Сообщение # 8
-=Чемпион=-
Группа: Администратор
Сообщений: 948
Репутация: 13
Статус: Offline
Quote (House)
МЫ НЕ ПЛАГИАТОРЫ У НАС ПОРТАЛ А НЕ ИНФ СЛУЖБА

а нуууууу тогда всё ясно happy


слоны срут не мало!!!!!!!


 
$анекДата: Понедельник, 24.12.2007, 17:26 | Сообщение # 9
ушел
Группа: Проверенные
Сообщений: 1401
Репутация: 1
Статус: Offline
Пользуйтесь Антивирусом Касперского 7.0! Ни одну заразу в комп не пропустит!

Вот сайт,где можете скачать ключ(не в черном списке)(но со временем могут занести) для седьмого каспера: http://kav7.antiv.org/




 
HouseДата: Среда, 26.12.2007, 07:46 | Сообщение # 10
House M.D.
Группа: Администратор
Сообщений: 1868
Статус: Offline
Quote ($анек)
Пользуйтесь Антивирусом Касперского 7.0! Ни одну заразу в комп не пропустит!
Вот сайт,где можете скачать ключ(не в черном списке)(но со временем могут занести) для седьмого каспера: http://kav7.antiv.org/

нефигасе!!! ну наконецто чёрный список мешать перестанет ато задолбал уже! angry



 
mugimanДата: Среда, 26.12.2007, 13:23 | Сообщение # 11
-=Чемпион=-
Группа: Администратор
Сообщений: 948
Репутация: 13
Статус: Offline
ну наконец biggrin спаибо санёк smile ......

слоны срут не мало!!!!!!!


 
$анекДата: Среда, 26.12.2007, 15:18 | Сообщение # 12
ушел
Группа: Проверенные
Сообщений: 1401
Репутация: 1
Статус: Offline
Не за что! biggrin
У меня уже 3 месяца золотой ключик работает. И еще не в списке. biggrin

Но рано или поздно его занесут... sad




 
$анекДата: Среда, 26.12.2007, 21:45 | Сообщение # 13
ушел
Группа: Проверенные
Сообщений: 1401
Репутация: 1
Статус: Offline
http://www.viruslist.ru

Все о вирусах.




 
SETДата: Четверг, 27.12.2007, 19:13 | Сообщение # 14
Старый приятель
Группа: Проверенные
Сообщений: 411
Репутация: 11
Статус: Offline
Вирусы, вирусы... wacko




Песнь любви на поле боя
 
$анекДата: Четверг, 27.12.2007, 21:06 | Сообщение # 15
ушел
Группа: Проверенные
Сообщений: 1401
Репутация: 1
Статус: Offline
...от них ни куда не денешься.



 
Форум » IT » WWW » Защита
  • Страница 1 из 2
  • 1
  • 2
  • »
Поиск: