@Mithgol30 авг 2011 в 06:06

Используем правительственный сайт zakupki.gov.ru как средство бесплатного хостинга статических файлов

1 мин

14K

Информационная безопасность *

Туториал

+142

127

Комментарии 127

@korvindest 30 авг 2011 в 06:13

Потрясающе! Я до сих пор не перестаю удивляться.

@webmaks 30 авг 2011 в 06:13

В затраты на сайт так же входит Porsche Cayenne в полной комплектации для перевозки загруженных файлов с одного офиса в другой. Закупка универсальной метлы так же входит в эту стоимость. Примерно 50 мил руб за штуку. Это вам не метла для полётов из Гарри Поттера :)

@iamsaint 30 авг 2011 в 06:15

Обождите, мы вам еще покажем кузькину мать и в производстве сельскохозяйственной продукции! )))

@seveiven 30 авг 2011 в 06:27

После этой новости место у них быстро кончится

@xjukebox 30 авг 2011 в 18:16

Ничего страшного, выделят еще миллионов 20.

@xjukebox 30 авг 2011 в 18:16

рублей

@ZloiZmei 30 авг 2011 в 06:27

Не завалим хабраэффектом? )

@webmaks 30 авг 2011 в 06:29

Они этого и ждут, чтоб запросить ещё финансов.

@ChemAli 30 авг 2011 в 07:22

Зачем? Они и так почти каждую ночь падают «на обслуживание».

@v27 30 авг 2011 в 07:33

Надо попросить чтобы хотя капчу ввели, а то ведь сейчас завалят новй файл-хостинг (

@AquaXP 30 авг 2011 в 06:34

Так на это дело можно яндекс или гугл натравить! Если перебирать, так с удобством!

@Deranged 30 авг 2011 в 07:22

Вот, для любителей покопаться:
www.google.com/search?q=site:http://zakupki.gov.ru/pgz/+inurl:documentdownload

@shpaker 30 авг 2011 в 06:35

Сталина на них нет…

@Mithgol 30 авг 2011 в 06:47

Поздравляю, Вы поняли потаённый смысл фотографии.

@Svobodniy 30 авг 2011 в 06:36

Печально, что почти 1 млрд рублей уходит не понятно на что, когда нечем лечить больных людей — www.kommersant.ru/doc-rm/1760696
Хочется бежать из этой страны…

@CheatEx 30 авг 2011 в 07:05

Just do it

@lightman 30 авг 2011 в 23:29

А где за границей нужны фрилансеры?

@proshev 3 сен 2011 в 16:46

Если вы фрилансер, в чем проблема жить там, а работать здесь?

@lightman 3 сен 2011 в 16:51

Обычно самый простой вариант для въёзда «туда» это по рабочей визе. Остальные способы либо дороги, либо неприемлемы (принудить себя жениться).

@Niemand 30 авг 2011 в 06:38

А видео туда заливать можно? Может, если сделать из этого порноресурс, до них дойдет?

@AndreyChizh 30 авг 2011 в 06:44

и потом из новостей узнаем о дерзком взломе портала мего хакерами :)

@Svobodniy 30 авг 2011 в 07:05

Руферами?

@AndreyChizh 30 авг 2011 в 07:12

да :) теми самыми :)

@braintorch 30 авг 2011 в 09:37

И фомкой.

@iGLaX6 30 авг 2011 в 06:41

убийца depositfiles.com

@RuslanCC 30 авг 2011 в 06:45

Предлагаю выкладывать туда FullHD новинки!

@0xZ 30 авг 2011 в 07:12

Размер прикрепляемого файла должен быть меньше 50 Мбайт.

@kashey 30 авг 2011 в 07:36

Тогда по старинке, кучей мелких раров

@logan 30 авг 2011 в 07:38

Ради такого дела можно написать JS-обертку и грузить кусочками по 50 метров :)

@vorphalack 30 авг 2011 в 16:52

эпоха rapidshare.gov.ru

@Francyz 30 авг 2011 в 06:45

Деньги уйдут не на сам сайт, там в планах стоит закупка 70 серверных стоек.

@paz 30 авг 2011 в 06:54

Да какая разница, дайте людям понавальничать и попоросенокпетричать.

@DarkTwin 30 авг 2011 в 06:54

70 серверов и 11 шкафов, а не 70 стоек.
Что то у меня не открывается zakupki.gov.ru/pgz/documentform.
Админы ГосЗакупок проснулись и прочитали Хабр?

@AndreyChizh 30 авг 2011 в 06:57

та нет, работает :)
там точка в конце ссылки лишняя у тебя :)
http://zakupki.gov.ru/pgz/documentform

@Francyz 30 авг 2011 в 06:58

Да верно, опечатался — 70 серверов (думал о своем просто)
ЖЖ навального лежит. Видимо все ломанулись читать

@bat 30 авг 2011 в 06:58

без точки все открывается

@georgich 30 авг 2011 в 06:59

Точку уберите и админы снова заснут :)

@f0rk 30 авг 2011 в 08:12

Интересно, а что там за нагрузки такие, что 70 серверов нужно?
a-k-d.ru/ к примеру насколько мне известно на одном неплохо справляется.

@DarkTwin 30 авг 2011 в 08:20

Разговаривал на эту тему с одним из представителей Яндекса.
Пришли к заключению что это либо не сервера, а хранилища либо они планируют сделать несколько площадок (поставить оборудование в нескольких ДЦ).
Хотя все ровно не понятно зачем столько.

@DjOnline 30 авг 2011 в 09:09

Видимо затем же, зачем это делал в своё время Роскосмос на бюджетные деньги для хостинга Оверсан-Меркурия.

@fenrirgray 30 авг 2011 в 18:56

Т.е. вы хотите сказать, что 70 серверов стоят 700 миллионов рублей?)

@g3ar 30 авг 2011 в 06:49

Нужно выложить туда фильмы мигалкова, порнушку, экстремистские материалы, инсталлы винды и еще кучи контрафактного софта и требовать закрытия ресурса.

@Mithgol 30 авг 2011 в 06:51

Это было бы глупо. Куда удобнее было бы оставить этот ресурс незакрытым ещё лет десять и сильно экономить усилия всех ищущих хостинга.

@logan 30 авг 2011 в 07:39

Не получится экономить — качество хостинга будет очень низким

@Mithgol 30 авг 2011 в 07:41

Вы полагаете? Ниже пишут, что скорость отдачи, во всяком случае, не ниже пяти мегабитов в секунду.

@logan 30 авг 2011 в 08:00

Боюсь, что сайт элементарно не удержит нагрузку и упадет. Маловероятно, что создатели данного портала предполагали нагрузку, превышающую узкий список заинтересованных лиц.

@logan 30 авг 2011 в 09:49

Ну вот, он уже лег.

@sphinks 30 авг 2011 в 06:51

Сейчас новость разлетится по другим сайтам и дырку начнут спешно латать подозреваю. Но сам факт, что за сотни миллионов выполняют сайт с такими детским проблемами в безопасности… Ну хоть быть контора которая пилит деньга за сайт, не сама его делала и платила нормальным профессионалам, чтобы не стыдно было заходить на него.

@logan 30 авг 2011 в 09:50

Этот факт вызывает у вас удивление?

@monkegoist 30 авг 2011 в 06:57

Новости сегодня вечером: «Неизвестными была совершена DoS атака на сайт zakupki.gov.ru...»

@FuzzyWorm 30 авг 2011 в 06:57

Элементарным тыком, пятью номерами ранее, обнаруживается «ВЕДОМОСТЬ ОБЪЕМОВ РАБОТ по текущему ремонту фасада здания МУП МО Парголово по оказанию банно- оздоровительных услуг „Парголовские бани“ ». Интересно, когда в сети всплывет очередной скандальчик типа «Яндекс проиндексировал госконтракты и выдает всю подноготную закупок и откатов»?

@ChemAli 30 авг 2011 в 07:26

Эти данные открыты. Что особого вы нашли в этой ведомости?

@Artoha 30 авг 2011 в 07:09

Еще 500 миллионов на закрытие дыры!

@RuJet 30 авг 2011 в 07:12

Это мелочи вы погуглите на тему ГАС Правосудие или ГАС Выборы.
Там такие суммы трартят каждый год.
А эффект пшик.
ГАС Правосудие не путать с системой из арбитражных судов.

@leoismyname 30 авг 2011 в 07:16

Официальный ответ от гос-сайта:

Здравствуйте!
Ваше обращение с номером SD1XXXXXXXXX было закрыто.

Описание обращения:
Добрый день. У вас есть уязвимость, связанная с закачкой файлов на сервер гос закупок без авторизации. zakupki.gov.ru/pgz/documentform

Решение:
Уважаемый пользователь! Просьба выслать форму запроса, скриншоты Ваших действий и сертификат в формате .cer С уважением, служба технической поддержки официального сайта.

@chemedia 30 авг 2011 в 07:27

Неоднократно им писал про баги с формой поиска, реакции ноль.

@Lure_of_Chaos 30 авг 2011 в 07:37

Просьба выслать форму запроса, скриншоты Ваших действий и сертификат в формате .cer

Не удержался, плюсанул. :)

У меня складывается впечатление, что они вообще не хотят не то, что закрывать дыру, а даже признавать ее существование!
Сертификат вы.cer.

@Shersh 30 авг 2011 в 07:38

>> и сертификат в формате .cer

А также ваши паспортные данные, желательно копию паспорта, а также просим вас не покидать квартиру в ближайшие 3 часа

@dmandreev 30 авг 2011 в 11:05

Судя по всему форма запроса и сертификат в формате .cer лежат там же.

@bondbig 30 авг 2011 в 07:16

Судя по всему, это не баг, а фича. Участие в конкурсах доступно всем, потому и закачка файлов — тоже (потому что участники должны закачать документы со своими предложениями по конкурсу). Закачивать можно, судя по всему, только картинки, документы и архивы, экзешники не жрёт, например.

@Mithgol 30 авг 2011 в 07:28

Могли бы, однако,

требовать авторизации перед закачкою;
воспретить hotlinking.

@hellroy 30 авг 2011 в 07:46

Торги бывают электронные и не электронные.
Первые проходят на спец. площадках и для участия в них нужно не только авторизацию, но и ЭЦП.
На вторые документы подается в бумажном виде лично или по-почте.
Так что это баг.

@vetal232 30 авг 2011 в 07:26

Кто желает скачать все секретные документы с госзакупок — запустите скрипт.

#!/bin/sh

URL='http://zakupki.gov.ru/pgz/documentdownload?documentId='

NUM='0'



while [ true ]

do

 LINK=$URL$NUM

 wget -O ./data/$NUM $LINK

 NUM=`expr $NUM + 1`

done;

@Mithgol 30 авг 2011 в 07:40

Сразу скажу: 39 миллионов номеров документов перебрать и каждый скачать — это немалый дисковый простор надобен.

НЛО прилетело и опубликовало эту надпись здесь

@vetal232 30 авг 2011 в 07:41

самое интересное начинается с цифры 18 000

НЛО прилетело и опубликовало эту надпись здесь

@vetal232 30 авг 2011 в 09:44

короче, но пустые будет грузить и по папкам не рассортирует :)

@v27 30 авг 2011 в 07:26

Попробовал и я подбирать цифры.
Надо придумать какое-нибудь игру типа «Поле чудес»(Млин, какой-то двойной смысл получается, применительно к этой ситуации в целом).
Вместо слова Якубовича «Назовите букву», будет «Угадайте цифру».
И так, мои результаты в этой игре:

1 раунд: мое число — 39240775. Приз: «Приложение к извещению о проведении открытого аукциона в электронной форме.»

Полуфинал: мое число — 39240645. Приз: «Проект котировочной заявки для правительства Хабаровского края»

Финал: мое число — 39240665. Приз: «Чертежи таможенного пропускного пункта в пос. Южно-Курильск»

@space_monkey 30 авг 2011 в 07:32

Надо репозиторий сделать с сылками. Нужны тебе «Чертежи таможенного пропускного пункта в пос. Южно-Курильск», зашел скачал, ну и так далее :)

@r3code 30 авг 2011 в 07:31

А что насчет скорости скачивания/закачивания?

НЛО прилетело и опубликовало эту надпись здесь

@Seldon 30 авг 2011 в 07:31

предлагаю удвоить бюджет в 778 млн в связи с необходимостью закрыть столь существенные дыры и сложностью реализации данного патча!

@Lure_of_Chaos 30 авг 2011 в 07:58

Все правительственные сайты, как и сайты крупного бизнеса, делаются в итоге одним студентиком за еду!

Простите за категоричность, но вот (оффтоп) мне как-то, лет 5 назад, доводилось работать в небольшой конторке. Заказ сделать сайт департаменту Статистики получили мы с коллегой, нынешним другом и партнёром. Нас предупредили, чтобы мы в исходниках не указывали никаких имён и фамилий, а также названия нашей конторы — оказывается, мы делаем сайт нелегально. Из подслушанных разговоров начальства выяснилось, что сайт вообще-то департамент заказал именитой конторе нашей страны за 5 млн. лт., а нашей достался только один. Нужно ли говорить, что нам с коллегой платилась только зарплата, не очень большая? :)

@Lure_of_Chaos 30 авг 2011 в 07:59

p.s. съелся тег sarcasm :)

@Seldon 30 авг 2011 в 07:41

@silvergh0st 30 авг 2011 в 07:44

zakupki.gov.ru/pgz/documentform — Запрашиваемая страница не существует.

@Jekel 30 авг 2011 в 07:47

Видимо там узнали что такое Хабрахабр, вот и закрыли.

@hellroy 30 авг 2011 в 08:10

Ждем блог Zakupki.gov.ru на Хабре=)

@Lure_of_Chaos 30 авг 2011 в 09:44

> там узнали что такое Хабрахабр

не обвинят ли Хабрахабр за что-нибудь (за взлом, подстрекательство, или что там еще взбредет в воспаленный чиновничий мозг)? :)

@Horzerus 30 авг 2011 в 07:51

Видать кто-то таки отправил сертификат в формате .cer

@lukaville 30 авг 2011 в 07:44

залатали дыру?

Запрашиваемая страница не существует.

@SLY_G 30 авг 2011 в 07:50

Нанодосками забили.

@chemedia 30 авг 2011 в 07:54

Но перебором id еще можно получить док.

@eresik 30 авг 2011 в 07:56

Зачем перебор. В гугле всё есть.

@91koff 30 авг 2011 в 07:58

Это очевидно, учитывая, что сайт специально создавался для того, чтобы публиковать октытую информацию. Документы в том числе. Соответственно да, документы можно скачать.

@seriyPS 30 авг 2011 в 09:05

Этот док никакой секретной информации не несет.

@ComputerPers 30 авг 2011 в 09:59

А персональную?

@seriyPS 30 авг 2011 в 10:23

Ну, суть в том, что эти документы и так можно совершенно свободно скачать со страницы тендера. Пример:

Через форму расширенного поиска находим аукционы в электронной форме:
найти
Щелкаем по любому из них и открываем вкладку «Документы заказа» например вот zakupki.gov.ru/pgz/public/action/orders/info/order_document_list_info/show?notificationId=860009

Жмем на любую ссылку на документ, например в разделе «Разъяснения документации об аукционе в электронной форме» — «Разъяснение1» — при клике вызывается JS функция downloadDocument(33239755)
код которой

function downloadDocument(id){
    window.open(appRoot + '/documentdownload?documentId=' + id,'');
}

PS: а если кликнуть по ссылке «Протокол 1267» в разделе «Протоколы работы комиссии» то попадем как раз на, теперь уже удаленную, страницу загрузки файла такую — так я собственно эту дырку и нашел случайно. Причем в GET параметре «showMessage» была еще и XSS

@r3code 30 авг 2011 в 07:56

«Дверь мне запили...»
— Да запилю, запилю.

@alt3rmann 30 авг 2011 в 08:06

фак, кончилась халява, не успев начаться…

@r3code 30 авг 2011 в 07:55

За такие деньги можно несколько жилых домов построить поселить в них программистов, купить им компы, заплатить зарплату и они с нуля напишут тысячу таких сайтов.

А тут все сведется к известному:
— У нас есть 20 тысяч рублей и нам нужен сайт.
— Хорошо, а ничего если я работу буду совмещать с учебой…
и т.д.

@shpaker 30 авг 2011 в 09:10

… с учёбой в школе…

@Dipodidae 30 авг 2011 в 07:58

Есть уже ссылки на интересные новинки кино? Поделитесь.

@chemedia 30 авг 2011 в 07:58

Там и на FTP дыры.

НЛО прилетело и опубликовало эту надпись здесь

@lightman 30 авг 2011 в 23:33

Не расшатывайте лодку, а не то расшатают дырку.

@BeLove 30 авг 2011 в 08:13

zakupki.gov.ru/forum/forums/list.page
Powered by JForum 2.1.8 © JForum Team
www.exploit-db.com/exploits/13754/
топик продолжается :]

@Mithgol 30 авг 2011 в 09:08

Вообще-то там написано, что уязвимость действует только для форумов с установленным модулем закладок. Что заставляет Вас думать, что на форуме сайта госзакупок установлен этот модуль?

@BeLove 30 авг 2011 в 09:19

точно, прочитал полностью только дескрипшин. Думал закладки просто фича движка форума.

@Lure_of_Chaos 30 авг 2011 в 09:33

Возможно, он входит в стандартную поставку, и его не потрудились удалить.

@vad78 30 авг 2011 в 08:18

Дырку на закачку закрыли, но файлы скачивать можно

@v27 30 авг 2011 в 08:40

Млин, такой файлообменник пропал (
Без капчи, без рекламы, с хорошей скоростью.

Ну надеюсь как подлатают, и введут хотя бы капчу, снова откроют.
Вот только бы рекламы много бы не вводили, а то в айфолдере пока скачаешь что нибудь, нужно посмотреть 20 баннеров.

@Boomburum 30 авг 2011 в 08:22

Залейте им там голых тёток, фотошоп и пару текстовых документов с лозунгами — пусть потом только попробуют до кого-то докопаться за хранение «неправильных» файлов )

@svarda 30 авг 2011 в 08:55

zakutube.gov.ru

@p1xel 30 авг 2011 в 08:58

Эм… Все работает. Дыру еще не прикрыли.

@Mithgol 30 авг 2011 в 09:10

А мне кажется, что прикрыли. (Во всяком случае, по адресу http://zakupki.gov.ru/pgz/documentform выдаётся ошибка 404, причём её страница не содержит форму закачки.)

НЛО прилетело и опубликовало эту надпись здесь

@Mithgol 30 авг 2011 в 17:17

А вот и не помню.

@Stigmated 1 сен 2011 в 16:50

Ну там нужно немного ссылку подправить и все ок :)
zakupki.gov.ru/pgz/documentform/

@andmaz 30 авг 2011 в 09:55

> 778 миллионов рублей на развитие портала zakupki.gov.ru

Ну видимо эти деньги пойдут на устранение данной уязвимости. Могу предложить лицам, ответственным за этот сайт, свои услуги разработчика и следовательно сэкономить для них немного денег (готов закрыть данную уязвимость миллионов за 50).

@Lure_of_Chaos 30 авг 2011 в 10:01

я — за 49!

@bahrep 30 авг 2011 в 10:39

Мицгол — крыса. :(

@Lure_of_Chaos 30 авг 2011 в 17:21

Нет, 1978 — год лошади :)

@Lure_of_Chaos 30 авг 2011 в 17:22

Кстати, как и Вы :)

@MadyDady 30 авг 2011 в 15:16

интересно, а залитого туда хрущева они догадаются удалить )) а может и еще чего народ успел. пока смотрю, не догадались :)

@skitalets 31 авг 2011 в 05:48

Да, наше правительство меня удивляет!

P.S. карма < 0

@xandr0s 31 авг 2011 в 06:07

По ссылке из топика грузится бинарник "=" весом в 23КБ. Переименование в *.jpg говорит о том, что файл с картинкой они не удаляли )

@Stigmated 1 сен 2011 в 16:56

Как можно залить файл.
Переходим по ссылке zakupki.gov.ru/pgz/documentform/
Выбираем нужный файл и жмем «Прикрепить».
Потом сайт выбрасывает ошибку «Запрашиваемая страница не существует», здесь просто нужно вернуться на предыдущую страницу и нажать F5
В итоге увидим ссылку на наш залитый файл.

@Mithgol 2 сен 2011 в 11:23

Молодец.

@vad78 2 сен 2011 в 13:08

Хорошая инструкция
а вот и ссылка на залитый файл картинки
«Трамвай в Лиссабоне»
zakupki.gov.ru/pgz/documentdownload?documentId=39543961&id=&idOld=&class=null&docType=&cid=&org.springframework.webflow.FlowExecutionKey=null

@vad78 2 сен 2011 в 13:09

Хорошая инструкция
а вот и ссылка на залитый файл картинки
«Трамвай в Лиссабоне»

@vad78 2 сен 2011 в 13:11

Хорошая инструкция
а вот и ссылка на залитый файл картинки
«Трамвай в Лиссабоне»

@vad78 2 сен 2011 в 13:50

Хорошая инструкция
а вот и ссылка на залитый файл картинки
«Трамвай в Лиссабоне»

@vad78 2 сен 2011 в 13:51

сорри, сеть глючила, лишнее наотправлял :(

@Mithgol 3 сен 2011 в 08:49

В адресе также много лишнего; достаточно указать documentId: http://zakupki.gov.ru/pgz/documentdownload?documentId=39543961

[изображение]

@Stigmated 3 сен 2011 в 13:33

Красота :)

zakupki.gov.ru/pgz/documentdownload?documentId=39567387

Зарегистрируйтесь на Хабре, чтобы оставить комментарий