FAILzilla

Plutonium · 05-04-11 21:05:59

Все слышали и знают о таком казалось бы замечательном FTP-клиенте, как FileZilla (3.4.0) Решил я копнуть его поглубже, уж очень был интересен тот факт, что все пароли сохранялись уверенно молча, думалось шифрует…

С небес на землю. Благодаря FileMon’у нашел куда это зараза отсохраняет все пассы. У меня в случае установки для текущего пользователя (в XP) все сохранилось тут:

C:\Documents and Settings\Plutonium\Application Data\FileZilla

Любопытны два файла - recentservers.xml и filezilla.xml. В первом мы можем наблюдать стройно разложенные XML-параметры - сервера+пасы, во втором можно найти сервер/пасс к последней сессии. Пример содержания recentservers.xml:

<Server>
<Host>10ballov.ru</Host>
<Port>21</Port>
<Protocol>0</Protocol>
<Type>0</Type>
<Logontype>1</Logontype>
<User>u37052</User>
<Pass>3ion3hetic</Pass>    <-- FUUUUUUUUUUUUUUUUUUUUU
<TimezoneOffset>0</TimezoneOffset>
<PasvMode>MODE_DEFAULT</PasvMode>
<MaximumMultipleConnections>0</MaximumMultipleConnections>
<EncodingType>Auto</EncodingType>
<BypassProxy>0</BypassProxy>
</Server>

Не знаю, удивлятся ли сейчас постоянные пользователи FAILzill’ы но лично я чуть не пролил чай на клаву от увиденного. Что это? Новое поколение уязвимостей?

Но, казалось бы, не все так плохо, ведь есть:

Работает мягко говоря загадочно (по умолчанию отключена кстати). Если воткнуть галку, нажать ОК и выйти из программы, то при следующем запуске галки вновь не будет! Если у вас уже были отсохранены пароли, то включение nopass ничего не сотрет. ПZdts

Вывод: FAILzilla лучший друг троянопейсателя, браво блеать

Babusha · 05-04-11 21:13:00

Plutonium пишет:

Вывод: FAILzilla лучший друг троянопейсателя, браво блеать

Под линупсов таких проблем нет.

Я вообще написал консольный свой ftp клиент со всеми блекджеками и шлюхами и ниначто не променяю, ибо ничего удобнее моего нету smile

petrun · 05-04-11 21:19:41

Plutonium
Вас удивляет то, что пароли храняться в открытом виде? А как им еще храниться-то?
Мастер пароля или иного ключа у вас не спрашивали, чем они должны шифроваться, по вашему?

Plutonium · 05-04-11 21:40:03

petrun пишет:

Мастер пароля или иного ключа у вас не спрашивали, чем они должны шифроваться, по вашему?

Есть такое понятие, статичный ключ, заложенный в код программы.

Babusha, да вот чую, что тоже придется свой фтп в визуалке набросать neutral

petrun · 05-04-11 21:43:41

Plutonium пишет:

Есть такое понятие, статичный ключ, заложенный в код программы.

Мда. А его кто зашифрует?)

Svart Testare · 05-04-11 21:47:50

Plutonium пишет:

Вывод: FAILzilla лучший друг троянопейсателя, браво блеать

А если её файлы зашифровать средствами Windows?
P.S: И руссификация какая-то странная на скриншоте — наполовину что ли?

MOP3E · 05-04-11 21:50:31

petrun пишет:

Вас удивляет то, что пароли храняться в открытом виде? А как им еще храниться-то?
Мастер пароля или иного ключа у вас не спрашивали, чем они должны шифроваться, по вашему?

Тотал коммандер пароли к FTP шифрует. Круто, да?

Svart Testare пишет:

А если её файлы зашифровать средствами Windows?

Если троян будет работать из под пользователя, который зашифровал пароль, это не поможет. В виндах "прозрачное" шифрование.

petrun пишет:

Мда. А его кто зашифрует?)

А это уже как его в программе разместишь. Можно ведь и так в код вшить, что без бутылки не разберёшься, а потом собирать десятком вызовов разных функций. Конечно, для опсоса такой вариант не прокатит: исходный код ведь доступен для изучения, поэтому статичный пароль всё равно расшифруют.

Svart Testare · 05-04-11 21:57:33

MOP3E пишет:

Если троян будет работать из под пользователя, который зашифровал пароль, это не поможет.

Да, но поможет если троян как обычно отправит зашифрованный файл хозяину. И тогда хозяин не сможет у себя его прочитать.

Plutonium · 05-04-11 21:58:40

petrun пишет:

Мда. А его кто зашифрует?)

толсто же! Мы сейчас о чем говорим? О шифрование на основе пароля-ключа заложенного в код программы или о чем-то другом?

К слову, не шибко надежно, ибо хакЭр может скачать исходник проги и увидеть "случайно" оставленный ключ там. Полагаю, самым надежным был бы метод, запроса рандомной абракадабры-ключа со своего сервера, но для опенсорса это судя по всему слишком сложно lol

И вообще уважаемый Петрунчик, тему я поднял не из-за того, что программа что-то не шифрует, а потому, что она нихера ни о чем не уведомляет, все в тихую … а-ля догадайся сам. Ну и как предостережение изающим ее. wink

Отредактировано Plutonium (05-04-11 22:04:34)

petrun · 05-04-11 22:02:49

MOP3E пишет:

А это уже как его в программе разместишь. Можно ведь и так в код вшить, что без бутылки не разберёшься, а потом собирать десятком вызовов разных функций. Конечно, для опсоса такой вариант не прокатит: исходный код ведь доступен для изучения, поэтому статичный пароль всё равно расшифруют.

Это не шифрование, я чушь собачья. Потому как Этот ключ всегда можно будет вытащить.

Добавлено спустя 01 мин 39 с:

Plutonium пишет:

И вообще уважаемый Путрунчик

Вы правил-то не нарушайте.

Plutonium пишет:

а потому, что она нихера ни о чем не уведомляет, все в тихую … а-ля догадайся сам.

А что трудно догадаться, что пароль хранится в открытом виде? это какбэ очевидно.

Plutonium · 05-04-11 22:05:38

petrun пишет:

Вы правил-то не нарушайте.

звыняюсь, просто смягчил ник smile

Tiphon · 05-04-11 22:07:01

petrun пишет:

Это не шифрование, я чушь собачья. Потому как Этот ключ всегда можно будет вытащить.

Способов решений таких ситуаций - куча.

Просто правильно плутониум говорит, не надо так тихо и "про себя" такие вещи делать.

Plutonium · 05-04-11 22:15:00

Забыл кинуть ссыль на интересности: forum.antichat.ru/printthread.php?t=233260&page=1&pp=10

petrun · 05-04-11 22:18:19

Tiphon пишет:

Способов решений таких ситуаций - куча.

Не привлекая третий сервер с сертификатом?

Svart Testare · 05-04-11 22:21:19

Plutonium пишет:

Забыл кинуть ссыль на интересности

Бедный народ — обложились антивирусами и фаерволами, хранят пароли в каких-то блокнотах специальных… И всё равно попадают с троянами! smile

Гареев Станислав · 05-04-11 23:06:59

Svart Testare пишет:

И всё равно попадают с троянами! smile

Помойки..

Babusha · 05-04-11 23:11:20

Во всяком случае пока попались только пользователи священного вантуза! Линупсоидов сам приподобный Стулман охороняэ!

Гареев Станислав · 05-04-11 23:29:37

Babusha пишет:

Линупсоидов сам приподобный Стулман охороняэ!

Не, у нас есть репозитарии где все ментайнеры с паспортными данными.

Babusha · 05-04-11 23:41:23

Гареев Станислав пишет:

Не, у нас есть репозитарии где все ментайнеры с паспортными данными.

Сейчас тебе расскажут свидетели булмера что в вантузе репохитории первые появились, а тупые фанатики стулмана взяли и украли! А вообще, репозитории лучшее что пока есть.

Отредактировано Babusha (05-04-11 23:42:15)

Plutonium · 05-04-11 23:46:43

Babusha пишет:

А вообще, репозитории лучшее что пока есть.

Особенно, если репозиторий это весь Интернет! (Windows) tongue

Babusha · 05-04-11 23:51:43

Plutonium пишет:

Особенно, если репозиторий это весь Интернет! (Windows)

Ой, опять мантры! Но на деле это от помойки и глюков не лечит lol

Svart Testare · 05-04-11 23:57:19

Babusha,
Оффтопить прекращаем! А то с петяном общаться в баньку пойдёте.

Гареев Станислав · 06-04-11 00:05:00

Svart Testare пишет:

Оффтопить прекращаем! А то с петяном общаться в баньку пойдёте.

Гав!

big_smile

IvanOFF · 06-04-11 00:26:43

Ну хранится он в открытую, но при этом на вашем компе, нашли повод шуметь. Только вот никто не вспомнил, что протокол FTP передает пароль в открытом виде:

Так что трояну и иже с ними похуй, что там и как хранится. Все элементарно перехватывается.

petrun · 06-04-11 00:31:57

IvanOFF
Какбэ ftp можно пускать поверх ssl.

Форум StopLinux

Объявление

#1 05-04-11 21:05:59

FAILzilla

#2 05-04-11 21:13:00

Re: FAILzilla

#3 05-04-11 21:19:41

Re: FAILzilla

#4 05-04-11 21:40:03

Re: FAILzilla

#5 05-04-11 21:43:41

Re: FAILzilla

#6 05-04-11 21:47:50

Re: FAILzilla

#7 05-04-11 21:50:31

Re: FAILzilla

#8 05-04-11 21:57:33

Re: FAILzilla

#9 05-04-11 21:58:40

Re: FAILzilla

#10 05-04-11 22:02:49

Re: FAILzilla

#11 05-04-11 22:05:38

Re: FAILzilla

#12 05-04-11 22:07:01

Re: FAILzilla

#13 05-04-11 22:15:00

Re: FAILzilla

#14 05-04-11 22:18:19

Re: FAILzilla

#15 05-04-11 22:21:19

Re: FAILzilla

#16 05-04-11 23:06:59

Re: FAILzilla

#17 05-04-11 23:11:20

Re: FAILzilla

#18 05-04-11 23:29:37

Re: FAILzilla

#19 05-04-11 23:41:23

Re: FAILzilla

#20 05-04-11 23:46:43

Re: FAILzilla

#21 05-04-11 23:51:43

Re: FAILzilla

#22 05-04-11 23:57:19

Re: FAILzilla

#23 06-04-11 00:05:00

Re: FAILzilla

#24 06-04-11 00:26:43

Re: FAILzilla

#25 06-04-11 00:31:57

Re: FAILzilla

Подвал форума