М.Двач / Криптоанархия

55 Кб, 634x526
1. Генерирую список ключей с помощью random seed (из 11 авг 2019, 00:59 43739 В конец треда | Веб

1. Генерирую список ключей с помощью random seed (из питона, например)
2. Храню в двух копиях на сервере и клиенте
3. http://example.com/exec/?path=[путь до скрипта или команды]&key=[первый ключ из списка]
4. Получаю ответ от сервера
5. Убираю использованный ключ в списках на клиенте и сервере
Где я проебался?

Ответы742768

2 11 авг 2019, 21:03 2 43740

Ю Почему просто не использовать асимметричную криптографию, подписывая каждый запрос с проверкой на сервере?

Ответы741744

3 11 авг 2019, 21:03 3 43741

>>43740
>Ю
Без ю, лол.

sage 4 11 авг 2019, 22:14 4 43742

>>43739 (OP)
> http
Человек посередине перехватывает твой пакет, меняет path на rm -rf /* и отправляет дальше

Ответы743744

5 11 авг 2019, 22:56 5 43743

>>43742
Точно. Вот как раз нормальная подпись от такого бы и помогла.

# OP 6 11 авг 2019, 23:03 6 43744

>>43740
Можно, наверное. Но это ж нужно тянуть GPG... Или нет? А так простота реализации: random.seed() в Python, math.randomseed() в Lua. Нагенерировать списочек из base58 длинной где-то 32 символа не проблема. А Lua-то запустить даже на тостере можно.
>>43742
О, это ты прав, напрямую писать исполняемый код опасно. Тогда имя скрипта буду передавать, проверять, существует ли такой файл и запускать. Спасибо

Ответы745746767

115 Кб, 1060x1558
7 12 авг 2019, 12:02 7 43745

>>43744
>Тогда имя скрипта буду передавать, проверять, существует ли такой файл и запускать
param=existing.script;rm -rf /

Ответы746750

8 12 авг 2019, 16:57 8 43746

>>43744
Ну добавь хотя бы хеш команды с солью (секретом), чтобы нельзя было подделывать запросы, как показывает >>43745

Ответы749750

9 13 авг 2019, 22:20 9 43749

>>43746
Лучше вообще никогда не передавать команды системы или параметры к командам напрямую в систему, я как старый багхантер атвичаю.

Ответы750

75 Кб, 1143x954
# OP 10 15 авг 2019, 12:50 10 43750

>>43745
>>43746
>>43749
Спасибо, анончики. Может тогда написать скрипты и отправлять индекс скрипта из списка?

Ответы796

11 19 авг 2019, 13:00 11 43767

>>43744
> random.seed()
Эта фигня генерирует псевдослучайные числа. Это не есть хорошо для криптографии. Там, где можно найти закономерность, можно сделать уязвимость.

Ответы792

12 19 авг 2019, 13:03 12 43768

>>43739 (OP)
Почему бы не обернуть твои запросы в SSL, TLS или SSH?

Ответы792

# OP 13 23 авг 2019, 13:47 13 43792

>>43767
Да, вот думал над этим
>>43768
Опять-таки, чтобы реализацию можно было написать на чём угодно и без массивных библиотек

Ответы794

14 24 авг 2019, 18:24 14 43794

>>43792
Добавь простую подпись запроса каким-нибудь md5 (или любым другим) хешем.
То есть допустим у тебя есть запрос: /exec/?path=script.py&arg1=foo&arg2=bar
Сортируешь входящие параметры по алфавиту, чтобы получилось:
params = "arg1=foo&arg2=bar&path=script.py"
Плюс ты имеешь какую-нибудь случайную соль, например:
salt = "98Y3cs6UwRS1TbT"
Эта соль известна клиенту (чтобы подписывать запросы) и серверу (чтобы проверять), но не известна третьим лицам.
Берешь хеш-функцию (md5 или какую хочешь) и получаешь хеш от соли и параметров:
hash = md5(salt + "." + params)
И получается у тебя допустим fddb0e9af298189f925f62bc634fbcce. Передаешь его в запросе: /exec/?path=script.py&arg1=foo&arg2=bar&md5=fddb0e9af298189f925f62bc634fbcce
На сервере сверяешь так же хеш с солью для всех параметров, кроме md5. Если не совпало, значит запрос подделан, значит отбрасывается.

Плюсы:
- простота реализации, пишется за 5 минут, можно запускать хоть на чайнике
Минусы:
- У тебя по прежнему http, все тело запроса видно перехватчику.
- md5 небезопасен, но мне кажется для твоей задачи пойдет. Ну или возьми sha2.

15 25 авг 2019, 03:19 15 43796

>>43750
> Спасибо, анончики. Может тогда написать скрипты и отправлять индекс скрипта из списка?
Подождем еще 2 года пока ты не изобретешь API.

Обновить тред
« /crypt/В начало тредаВеб-версияНастройки/a//b//mu//s//vg/Все доски

Скачать тред только с превьюс превью и прикрепленными файлами

Второй вариант может долго скачиваться. Файлы будут только в живых или недавно утонувших тредах.Подробнее

Пользуетесь скринридером — пишите, что можно улучшить.
Host-Food.ru — надёжный хостинг от 12 руб/мес | Free DNS
Зеркала М.Двача: m2ch.hk, m2ch.lib, m2chfapiswfw2wcakptqp4o6ltgchvjuxfab7urxlduraomtlnhw5xad.onion