Обсуждение Бэкдор в NoNumber от создателя

[kolio]

Всем привет. Хочу поднять очень серьезную тему на обсуждение

Все рано или поздно сталкиваются с разработками от NoNumber. Да, там есть хорошие вещи.

Позавчера столкнулся с такой бедой. В один раз захожу на сайт - а там вместо контента всех статей (com_content) стоит надпись "this site using pirated software!!!" или как-то так. Не помню.

Сижу думаю, ну кто из авторов, кто? Там юзается около 4-5 источников платных компонентов, плагинов т.п.
Сижу думаю, ну как вычислить кто именно из авторов компонентов понял, что юзаю не покупное.

Беру бекап файлов до и после проблемы и нахожу (программой araxis merge) всего 2 изменения в файлах php
Как раз в 2х файлах NoNumber. Именно в его фреймворке.
В общем он убрал на сайте из 2х файлов 1 функцию update и всё. Вечером напишу какие именно файлы он заменил.
Саму функцию не изучал, но думаю вечерком погляжу на неё

Собственно понятно, что я виновен в том, что юзаю на халяву платное. А разработчик не брезгует удаляя контент со всего сайта. И это опасно для тех кто в принципе юзает его ПО не оплачивая его.
Я покупал 1 раз у него Табы, но не помню указывал ли я при покупке название сайта (то-есть идет ли привязка к домену или нет - не помню)

Всё это можн полечить по-идее заменив везде текст "nonumber.nl" на какую-то другую хрень.
НО! Суть не в этом! Ведь он как то вошел на сайт, сделал, что хотел и свалил. То есть в компонентах есть бекдор! И если там нет защиты от левого входа в бекдор, то зная как это работает - можно по идее навредить любому сайту, который юзает PRO версии плагинов.

Гляну сегодня вечером логи сервера, к каким файлам было обращение, а тем более я знаю дату модификации тех самых 2х файлов. и смогу найти по логам какие именно файлы он дергал.

В инете находил эту фразу в гугле. Многие с ней сталкивались. Но честно говоря я не запомнил. Я просто восстановил БД и всё.

 

[Denixxx]

Ну хочется просто парню навариться, Рождество впереди. Его можно понять.
Понять и простить

 

[kolio]

ну это и я хочу
но сам факт присутствия бэкдора никого не смущает? ни у кого не появилось желание его оттуда вырезать?
я вечерком обязательно по-изучаю его "писанину"
а то мало-ли, ему вздумается отсылать себе копию БД при инсталле компонентов, или допустим автовставка в БД своего супер-админа с паролем, который он знает.

Конечно продавая сорцы ты по факту можешь только надеяться, что покупатель не выкинет его в инет на растерзание. в этом конечно минус. И как бороться с этим даже я не знаю. Увы

 

[kise97]

Ну вот зато вам хороший пример того, когда стоит купить лицензию, а не брать пиратки.

 

[kolio]

это всем понятно и без Вас. Тема не об этом.
Как Вы понимаете - Вы находитесь на сайте, где именно пиратство - основной вид заинтересованности юзеров. И как Вы понимаете люди выкладывают в подавляющем количестве оригинальные компоненты, плагины, которые уже содержат такую фигню в коде и задача в том, чтобы избавить людей от подобных случаев

 

[iskif]

а вас не смущает фраза в описании лицензии:
You can install the extension on any domain you want. No limitations. No domain checks.

т.е. то что вы описали скорее всего сделал не автор компонента, а тот, у кого вы "взяли" свою версию со встроенной "доработкой".

 

[opposite]

Примеры и понимание это здорово, но все от Nonumber для Joomla выходит под Для просмотра ссылки Войди или Зарегистрируйся, о чем Для просмотра ссылки Войди или Зарегистрируйся на самом сайте разработчика, что ставит под сомнение легальность вышеописанных действий. При условии, что это вообще было сделано автором расширения, а не каким-нибудь сторонним весельчаком, модифицировавшим расширение и пустившим его по сети.
Использование расширений лицензия не запрещает. Автор в праве ограничить доступ к своему сайту для скачивания (заблокировать аккаунт) при условии весомых доказательств распространения его расширений. Но модифицировать содержимое сайта... Если это так, то можно смело обращаться на Для просмотра ссылки Войди или Зарегистрируйся с описанием проблемы и просьбой дать оценку подобных действий.

 

[kolio]

я брал из ветки Для просмотра ссылки Войди или Зарегистрируйся
как и все остальные берут оттуда

а смысл автору, который выложил в сеть эту "доработку" шариться по чужим сайтам и писать, что сайт юзает пиратку? во благо разработчику? такой себе "альтруист - Робин Гуд"

допустим Ваша теория верна - тогда всё, что выкладывается здесь на сайте может быть с бэкдорами (про скрытые ссылки я молчу, бывало и такое) и авторитет выкладывающего не играет никакой роли?

блин. вечером отпишусь

 

[iskif]

допустим Ваша теория верна - тогда всё, что выкладывается здесь на сайте может быть с бэкдорами (про скрытые ссылки я молчу, бывало и такое) и авторитет выкладывающего не играет никакой роли?

может и, думаю, 99,9% так и есть.
я вот сам несколько раз перевыкладывал здесь разное скачанное на других аналогичных (буржуйских) форумах, но честно предупреждал, что источник - не автор.

 

[opposite]

Смотря что понимать под авторитетом. Уже бывали случаи, когда выкладывались расширения от людей с большим количеством сообщений и полученных благодарностей, но они (выкладываемые расширения) были перепостами с таких проектов как portaliz, где каждый может разместить и скачать все, что угодно по крайней мере до тех пор пока его не забанят. Было бы неплохо ввести в правила пункт, обязывающий указывать источник расширения при условии, что релизер не является обладателем лицензии.