[zielonka18]

Jeśli ktoś zastanawia się, jak @xArm zdobył dane do bazy @morele_net, śpieszę wyjaśnić:

1. Morele stoją na Symfony 3.3 - dowód: https://www.morele.net/info/oferty_pracy/php-developer-symfony/
2. Morele zapomniały usunąć app_dev.php, który pozwala na pracę w trybie developerskim - dowód: https://www.wykop.pl/link/4704903/comment/61321077/#comment-61321077
3. Profiler Symfony (od 3.2) posiada możliwość wyświetlania plików, co umożliwia podejrzenie dowolnego pliku projektu (w tym źródła), ale trzeba znać ścieżkę.
4. Wystarczy sprawdzić w dokumentacji, że dane do bazy znajdziemy w app/config/parameters.yml i wchodzimy na:
https://www.morele.net/app_dev.php/_profiler/open?file=app/config/parameters.yml (picrel)
6. Dalej sprawdzamy, czy host wystawia port z bazą na świat (auć), logujemy się i robimy dumpa. ( ͡° ͜ʖ ͡°)ﾉ⌐■-■
7. Korzystając z powyższego pliku, mamy też zapewne dane do storage, mailingu i api do sms, skąd można pozyskać więcej danych.
9. Nie umiemy into szantaż i zamiast oferty pracy za #15k zostajemy z niczym i dostajemy bana na forum ze śmiesznymi obrazkami (－‸ლ)

#niebezpiecznik #zaufanatrzeciastrona #morele #afera

[W.....a]

@zielonka18: @morele_net

Hindusi czy studenci na stażu? xD

https://symfony.com/doc/current/deployment.html

[V.....r]

@niebezpiecznik-pl ( ͡° ͜ʖ ͡°)

[mariecziek]

@zielonka18: ło matko. Przecież domyślnie appdev.php jest dostępny tylko z localhosta. Można tam dodać co prawda zaufane ip, ale to przydaje się w jednym przypadku - docker. No ale wtedy na produkcji wystarczy skonfigurować vhosta by blokował dostęp do appdev.php, no chyba, że debugowali coś na produkcji ( ͡° ͜ʖ ͡°)

[M.....L]

no chyba, że debugowali coś na produkcji ( ͡° ͜ʖ ͡°)

@mariecziek: A kto nie debugował ( ͡° ͜ʖ ͡°)

[Mellisuga]

@zielonka18: z tą ofertą pracy, to bym tak nie szalał... wiadome, że chcieli jego dane, a potem cyk na policję

[adam-dobrawy]

@mariecziek: Filtrowanie po IP nie jest rozwiązaniem wszystkich problemów. Deweloper mógł myśleć, że w ten sposób coś zabezpiecza. Potem jednak przychodzi SysOps, który dodatkowo równoważyć i wszystkie żądania z aplikacji idą z 127.0.0.1, a np. prawidłowy IP jest w nagłówku X-Forwarded-For.

[M.....k]

@adam-dobrawy: Akurat Symfony ogarnia taki scenariusz jeśli jest prawidłowo skonfigurowane: https://symfony.com/doc/current/deployment/proxies.html

W Morele jak widać zabrakło leadera/architekta który rozumie również ich infrastrukturę serwerową. Docker ftw ;)

[adam-dobrawy]

@MDobak: Jeżeli nie jest to krytyczne to można przegapić dodawanie X-Forwarded-For. Można to przegapić.

[M.....k]

@adam-dobrawy: Jak widać w przypadku Symfony 2/3 jest ;)

z tą ofertą pracy, to bym tak nie szalał... wiadome, że chcieli jego dane, a potem cyk na policję

@Mellisuga: Też bym nie oferował pracy po takim błędzie, raczej bym zwalniał u siebie ;)

[mateusz-z-aska]

Jak sprawdzić taka dokumentacje? ^.^

[b.....w]

@zielonka18: a co z innymi polskimi serwisami?? Jak wszystkie inne sa tak slabo zabezpieczone?

[Pan_Qcek]

@brzytew: zdaża sie, wyciągłem w ten sposób token smsapi z openfinance

[zielonka18]

@Pan_Qcek: jeszcze w google zostały ślady po tej dziurze :)

[Anty_Chryst]

@zielonka18: to fajnie, że został z niczym xd
Typ wlasnie wysyła sobie od tak donejty po dziesięć tysięcy, fajne mi "nic"