Дыры на zakupki.gov.ru

[chemedia]

Полностью закрыли FTP для этого юзера :) и ответили

Ваше обращение с номером SD1000383520 было закрыто.

Решение:
В данной папке находятся сведения о заказе, которые обычно отображены в открытой части ООС.Загружать туда сведения никто не может.

[Mithgol]

О-о, ваще-е!…

[chemedia]

Кто то успел разместить файл «здесь был Навальный.txt». — вот хулиганы.

[Mithgol]

До или после этой публикации на Хабрахабре?

[chemedia]

До.

[Boomburum]

Значит Навальный там правда был.

[chemedia]

Не думаю.

[Talyutin]

Предвижу неделю «Госзакупок» на хабре.

[equand]

Население Тендеров +35

[startsevdenis]

Доступ уже закрыт. На самих файлах внутри папки были атрибуты 644, так с существующими файлами вы бы ничего не сделали, максимум бы что закинули своих. Хотя можно было бы подсунуть xml в том формате что лежали внутри, интересно появилась бы она на сайте.

[maddogg]

может что посерьезнее найдете?

[startsevdenis]

Кстати до сих пор работает анонимный доступ на данный фтп, можно пополнить базу организаций России, а так же спам базу для e-mail рассылок. К примеру там присутствует организация с названием «Тестовая организация 3».

[square]

а где дыра-то?

[Lure_of_Chaos]

Надо ещё посмотреть, не лежат ли там директории .svn :)

[AlexSky]

А сейчас по этому адресу лежит только пустой каталог HabraHabr. :)

[AlexSky]

Забыл включить в ссылку пользователя и пароль. Правильная ссылка.

[Lure_of_Chaos]

А. Ну значит, уже не один. Нашлись хабровчане :)

[Lure_of_Chaos]

И вообще там в реалтайме интересное творится :)

[Lure_of_Chaos]

Уже нет. Там всё походу «лежит».

[AlexSky]

Там список каталогов, похоже, меняется каждые несколько секунд. Резвится народ.

[vad78]

Ну и туда заливать интересные файлы. халявный ftp хостинг

[Lure_of_Chaos]

Что, халява опять кончилась?

[Lure_of_Chaos]

Что, халява опять кончилась?

[Lure_of_Chaos]

Пардон, это Хабр залип на минуту.

[rmrevin]

Эх, опоздал, работа отвлекает

[lionsimba]

В продолжение темы: 77.246.101.195/../ (анонимный вход!)

Уж не знаю, что оттуда полезного можно выцепить. Папок, доступных на запись сходу не нашлось.

[Lure_of_Chaos]

Антарктида Хабр быстро вылечит от безответственности! Ща народ быстро ещё проконсультирует Закупки насчёт безопасности :)

[chemedia]

А мне кажется что это совсем не плохая идея, если б они действительно прислушивались к советам.

[Lure_of_Chaos]

Ну, вроде бы прислушиваются. Уже нельзя ни залить файл, да и по фтп наполовину прикрыли доступ :)

[Toozla]

Ну что оттуда выцепить… Персональные данные…
В соответствии с ФЗ о персональных данных таковыми являются имя-фамилия-отчество. А в любом из файлов в папочке /auto/organization/all/ их огромное количество.
Надзорные органы! Ау!

[diamant]

Надеюсь, они не доберутся до сайта президента…

[AlexeyK]

а вы кто? админ этого сайта?

[Isis]

Привет, я пассивная XSS.

[Isis]

Ой да их там куча…

[ComputerPers]

Вы поломали их сайт! за вами выехали

[Isis]

Error 500: java.lang.NullPointerException
Короче дальше даже смотреть не хочу. Хорошо зарабатывают чуваки =)

[deniamnet]

Портлет временно отключен.

[Tolsi]

а почему не в зоне.рф? закупки.гов… дальше я бы не читал, и так всё ясно.

[KotAlex]

Лучше бы в зоне .no :)

[VovixLDR]

3аkуnku сн0ва в3л0малu… n0чему же uм таk не ве3ет?

[Xlab]

……

[shushu]

файлик .bash_history в корне ftp — доставляет

[run4way]

zakupki.gov.ru/pgz/public/action/orders/info/common_info/show?notificationId=880145

Оказание телепатических услуг по обеспечению доступа к сети интернет 28 образовательных учреждений Шамильского района РД

[voftik]

Ребята, нам просто чего то не договаривают… мы то все про оптоволокно… а там давно уже телепаты в дуплексном режиме работают)

[mihaild]

Это, видимо, отпускные.

[Jeditobe]

может месячные?

[mihaild]

Отпускные

[llxff]

наверное, выглядит это так: goo.gl/rrU2F

[arinoki]

вы не залили данное видео на сайт гос-закупок — так что незачёт)

[screwdiver]

Это тот самый сайт, по поводу которого были распилены сотни миллионов нефти?

[arzzaba]

Давайте вместе сделаем Тамбовскую область лучше! Хотя бы виртуально…

[cblnok]

Только увидел данный пост, давно не заходил на великий Хабр, в начале января 2011 на tendery.ru мной была опубликована не до полу записка о наличии XSS в zakupki.gov.ru, прошло время ничего не изменилось ^_^ Зато милионы нефти все еще пилят…