הסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני
-
תגובה: שיתוף | תוכנה פורצת דרך לעדכוני טלפונים כשרים מבית אסקולס!!
בהמשך למה שyankevk@ כתב פה בhttps://mitmachim.top/post/1152174
החלטתי לנתח את התוכנה של WOT קצת יותר לעומק. אחרי שפירקתי את הקבצים והעברתי את הנתונים לניתוח של ג'מיני, ביקשתי ממנו שיסכם הכל וזה הסיכום שלו:כשצוללים לקוד ול-Source Maps רואים שהיא קומפלה ישירות מהנתיב
D:\Wot_Desktop\wot-desktop-electron, ויש שם שאריות מוזרות כמו תשתית שפה לאסטונית וכתובות IP פנימיות של סביבת הפיתוח (כמו192.168.50.76) שלא ניקו לפני שהוציאו את הגרסה. זה כבר מראה על עבודה קצת רשלנית.אבל הבעיה האמיתית היא באבטחה. הממשק רץ על גרסה ישנה של React Router (v6.26.0) שיש לה פגיעויות XSS ידועות. בגלל שזה רץ ב-Electron עם גישה מלאה ל-Node.js, כל הזרקת קוד לממשק הופכת בשנייה ליכולת להריץ פקודות מערכת על המחשב שלך (RCE). מעבר לזה, מנגנון העדכונים שם הוא כפוי – המחשב יוריד ויריץ כל מה שידחפו לו מהשרת בלי לשאול אותך, ואם השרת שלהם נפרץ, כל מי שמותקנת אצלו התוכנה בבעיה.
גם כלי הצריבה עצמו, ה-CmdDloader, מזריק קבצים כמו
uQe.exeומשנה דברים ב-Registry. אני מבין שזה נחוץ לצריבה, אבל זו התנהגות של נוזקה לכל דבר וזה פותח חורים במערכת ההפעלה שתוכנות אחרות יכולות לנצל. בקיצור, זה כלי עוצמתי אבל הוא בנוי על ספריות פגיעות ודורש הרשאות מוגזמות. מי שחייב להשתמש בזה, עדיף שישים את זה על מחשב ייעודי ומבודד בצד ולא על המחשב האישי או הארגוני שלו.@מנתח-קושחא התוכנה לא מזיקה כלל כול הקפיצות של אנטי וירוס וכדו' זה רק בגלל vm protect על הפלאשר וכדו'
אגב מה שניתחת זה לא את החלק העיקרי של התוכנה בכלל אלא את הui באלקטרון שהמשתמש רואה.התוכנה מגיעה ישירות מהיבואן ולא מאיזה חברה סינית כל שאין כאן אינטרס להזיק לך,
אם תרצה פירוט אין קשר בין xss לביצוע כמו שנעשה כאן שאין טעינה ממקורות שבשליטת התוקף,
כול תוכנה משנה דברים בריג'יסטרי ועוד ועוד.....
בקיצור אין בה שום בעיה...עוד לא נכתבו כאן חמישה פוסטים (מה שימנע מחיקה על ידך)
-
@מנתח-קושחא התוכנה לא מזיקה כלל כול הקפיצות של אנטי וירוס וכדו' זה רק בגלל vm protect על הפלאשר וכדו'
אגב מה שניתחת זה לא את החלק העיקרי של התוכנה בכלל אלא את הui באלקטרון שהמשתמש רואה.התוכנה מגיעה ישירות מהיבואן ולא מאיזה חברה סינית כל שאין כאן אינטרס להזיק לך,
אם תרצה פירוט אין קשר בין xss לביצוע כמו שנעשה כאן שאין טעינה ממקורות שבשליטת התוקף,
כול תוכנה משנה דברים בריג'יסטרי ועוד ועוד.....
בקיצור אין בה שום בעיה...עוד לא נכתבו כאן חמישה פוסטים (מה שימנע מחיקה על ידך)
@cfopuser
תודה על התגובות, אני לא מומחה גדול אבל כן פירקתי את הקבצים וראיתי שם כמה דברים שהפריעו לי. לא אמרתי שהתוכנה היא וירוס, ברור שהיא כלי עבודה לגיטימי, אבל הנקודה היא שיש בה חורי אבטחה שמישהו אחר יכול לנצל כדי להיכנס למחשב שלכם. כשמסתכלים בפנים רואים שהיא משתמשת בספריות ישנות מאוד שיש להן פרצות מוכרות, ובגלל שזו אפליקציית אלקטרון הממשק מחובר ישירות למערכת ההפעלה וזה יכול לאפשר הרצת פקודות מרחוק. גם מנגנון העדכונים שם הוא כפוי, אז אם השרת של החברה נפרץ פעם אחת הוא יכול לשלוח עדכון זדוני לכולם והתוכנה תתקין אותו אוטומטית. ראיתי בקוד גם כל מיני כתובות IP פנימיות ונתיבים מהמחשב של המפתחים שנשארו שם, מה שמראה שהקוד לא באמת עבר ניקוי אבטחתי רציני. בסוף כל אחד יעשה מה שהוא מבין, אני רק אומר שכדאי להפעיל אותה על מחשב נפרד ולא על המחשב האישי שלכם ליתר ביטחון. -
@cfopuser
תודה על התגובות, אני לא מומחה גדול אבל כן פירקתי את הקבצים וראיתי שם כמה דברים שהפריעו לי. לא אמרתי שהתוכנה היא וירוס, ברור שהיא כלי עבודה לגיטימי, אבל הנקודה היא שיש בה חורי אבטחה שמישהו אחר יכול לנצל כדי להיכנס למחשב שלכם. כשמסתכלים בפנים רואים שהיא משתמשת בספריות ישנות מאוד שיש להן פרצות מוכרות, ובגלל שזו אפליקציית אלקטרון הממשק מחובר ישירות למערכת ההפעלה וזה יכול לאפשר הרצת פקודות מרחוק. גם מנגנון העדכונים שם הוא כפוי, אז אם השרת של החברה נפרץ פעם אחת הוא יכול לשלוח עדכון זדוני לכולם והתוכנה תתקין אותו אוטומטית. ראיתי בקוד גם כל מיני כתובות IP פנימיות ונתיבים מהמחשב של המפתחים שנשארו שם, מה שמראה שהקוד לא באמת עבר ניקוי אבטחתי רציני. בסוף כל אחד יעשה מה שהוא מבין, אני רק אומר שכדאי להפעיל אותה על מחשב נפרד ולא על המחשב האישי שלכם ליתר ביטחון.@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני (ספוילר זה לא כל כך בטוח):
ובגלל שזו אפליקציית אלקטרון הממשק מחובר ישירות למערכת ההפעלה וזה יכול לאפשר הרצת פקודות מרחוק
בבקשה אל תצטט בינה מלאכותית למטרות השמצה
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני (ספוילר זה לא כל כך בטוח):
ראיתי בקוד גם כל מיני כתובות IP פנימיות ונתיבים מהמחשב של המפתחים שנשארו שם, מה שמראה שהקוד לא באמת עבר ניקוי אבטחתי רציני.
ואז? אתה יודע כמה תוכנות אמינות ראיתי שאפילו לא עברו strip?
-
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני (ספוילר זה לא כל כך בטוח):
ובגלל שזו אפליקציית אלקטרון הממשק מחובר ישירות למערכת ההפעלה וזה יכול לאפשר הרצת פקודות מרחוק
בבקשה אל תצטט בינה מלאכותית למטרות השמצה
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני (ספוילר זה לא כל כך בטוח):
ראיתי בקוד גם כל מיני כתובות IP פנימיות ונתיבים מהמחשב של המפתחים שנשארו שם, מה שמראה שהקוד לא באמת עבר ניקוי אבטחתי רציני.
ואז? אתה יודע כמה תוכנות אמינות ראיתי שאפילו לא עברו strip?
@מתכנת-חובב התוכנה הזו היא בעצם דפדפן (Electron) שרץ עם גישה מלאה למחשב שלך, ברגע שאני מחבר את הטלפון, יש לתוכנה גישה ישירה ליציאות ה-USB לחיבורים ולטרמינל וכל זה קורה דרך ממשק שמחובר לאינטרנט שמשתמש בספריות עם בעיות אבטחה ואם מישהו מנצל את הפרצה בממשק יש לו דלת פתוחה לכל המחשב ולחומרה שלך בלי שתדע בכלל, מי שרוצה לקחת את הסיכון הזה על המחשב האישי שלו, לבריאות
-
@מתכנת-חובב התוכנה הזו היא בעצם דפדפן (Electron) שרץ עם גישה מלאה למחשב שלך, ברגע שאני מחבר את הטלפון, יש לתוכנה גישה ישירה ליציאות ה-USB לחיבורים ולטרמינל וכל זה קורה דרך ממשק שמחובר לאינטרנט שמשתמש בספריות עם בעיות אבטחה ואם מישהו מנצל את הפרצה בממשק יש לו דלת פתוחה לכל המחשב ולחומרה שלך בלי שתדע בכלל, מי שרוצה לקחת את הסיכון הזה על המחשב האישי שלו, לבריאות
@מנתח-קושחא אשמח אם תוכל לתת לי תרחיש סביר להתקפה דרך התוכנה הזאת
אם מישהו זדוני יפרוץ להם לשרתים הוא גם עלול להחליף את התוכנה עצמה בגרסה זדונית שלה ול tranzilla אני לא חושש שיפרצו - וודאי לא מהתוכנה הזאת@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
יש לתוכנה גישה ישירה ליציאות ה-USB לחיבורים ולטרמינל
איך זה שונה מהתערבות בזיכרון של כל תוכנה אחרת?
בקיצור ניחא אם תבדוק בעצמך ותראה שיש לתוכנה בעיות אבל להשחיר פנים על סמך דו"ח של ג'מיני? חסר אחריות
-
@מנתח-קושחא אשמח אם תוכל לתת לי תרחיש סביר להתקפה דרך התוכנה הזאת
אם מישהו זדוני יפרוץ להם לשרתים הוא גם עלול להחליף את התוכנה עצמה בגרסה זדונית שלה ול tranzilla אני לא חושש שיפרצו - וודאי לא מהתוכנה הזאת@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
יש לתוכנה גישה ישירה ליציאות ה-USB לחיבורים ולטרמינל
איך זה שונה מהתערבות בזיכרון של כל תוכנה אחרת?
בקיצור ניחא אם תבדוק בעצמך ותראה שיש לתוכנה בעיות אבל להשחיר פנים על סמך דו"ח של ג'מיני? חסר אחריות
פוסט זה נמחק! -
@מנתח-קושחא אשמח אם תוכל לתת לי תרחיש סביר להתקפה דרך התוכנה הזאת
אם מישהו זדוני יפרוץ להם לשרתים הוא גם עלול להחליף את התוכנה עצמה בגרסה זדונית שלה ול tranzilla אני לא חושש שיפרצו - וודאי לא מהתוכנה הזאת@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
יש לתוכנה גישה ישירה ליציאות ה-USB לחיבורים ולטרמינל
איך זה שונה מהתערבות בזיכרון של כל תוכנה אחרת?
בקיצור ניחא אם תבדוק בעצמך ותראה שיש לתוכנה בעיות אבל להשחיר פנים על סמך דו"ח של ג'מיני? חסר אחריות
@מתכנת-חובב ניתוח קבצי JavaScript של אפליקציית React - Google Docs.pdf
למי שרוצה לקרוא את הדוח ולהתרשם בעצמו
-
@מתכנת-חובב ניתוח קבצי JavaScript של אפליקציית React - Google Docs.pdf
למי שרוצה לקרוא את הדוח ולהתרשם בעצמו
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
למי שרוצה לקרוא את הדוח ולהתרשם בעצמו
להזכירך
לפחות תכתוב את זה שמי שרוצה לראות בעצמו יכול עם ציטוט להסתייגויותשלהם@מתכנת-חובב כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
בקיצור ניחא אם תבדוק בעצמך ותראה שיש לתוכנה בעיות אבל להשחיר פנים על סמך דו"ח של ג'מיני? חסר אחריות
בייחוד אחרי שאלוף האבטחה של הפורום @cfopuser אמר שזה בטוח
אני במקומך הייתי מכניס לגמיני שם את דעתו של @cfopuser ו @מתכנת-חובב ונותן לו לענות
-
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
למי שרוצה לקרוא את הדוח ולהתרשם בעצמו
להזכירך
לפחות תכתוב את זה שמי שרוצה לראות בעצמו יכול עם ציטוט להסתייגויותשלהם@מתכנת-חובב כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
בקיצור ניחא אם תבדוק בעצמך ותראה שיש לתוכנה בעיות אבל להשחיר פנים על סמך דו"ח של ג'מיני? חסר אחריות
בייחוד אחרי שאלוף האבטחה של הפורום @cfopuser אמר שזה בטוח
אני במקומך הייתי מכניס לגמיני שם את דעתו של @cfopuser ו @מתכנת-חובב ונותן לו לענות
@צול-גאה כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
בייחוד אחרי שאלוף האבטחה של הפורום @cfopuser אמר שזה בטוח
אני במקומך הייתי מכניס לגמיני שם את דעתו של @cfopuser ו @מתכנת-חובב ונותן לו לענות
ומי ערב לכך שהם לא קשורים לתוכנה ומנסים להגן על שמה
אני חלילה לא חושד אבל עדיין מי שרוצה לדעת מה התוכנה הזאת עושה למחשב שלו שידע -
@צול-גאה כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
בייחוד אחרי שאלוף האבטחה של הפורום @cfopuser אמר שזה בטוח
אני במקומך הייתי מכניס לגמיני שם את דעתו של @cfopuser ו @מתכנת-חובב ונותן לו לענות
ומי ערב לכך שהם לא קשורים לתוכנה ומנסים להגן על שמה
אני חלילה לא חושד אבל עדיין מי שרוצה לדעת מה התוכנה הזאת עושה למחשב שלו שידע@מנתח-קושחא אף אחד לא ערב לי
{חוץ מזה שאישית אני סומך עליהם אבל מעדיף שלא לפרט}
אני רק רוצה שלסיכום תכניס את דעתם
{כולל מה שג'מיני יענה על זה} -
@צול-גאה כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
בייחוד אחרי שאלוף האבטחה של הפורום @cfopuser אמר שזה בטוח
אני במקומך הייתי מכניס לגמיני שם את דעתו של @cfopuser ו @מתכנת-חובב ונותן לו לענות
ומי ערב לכך שהם לא קשורים לתוכנה ומנסים להגן על שמה
אני חלילה לא חושד אבל עדיין מי שרוצה לדעת מה התוכנה הזאת עושה למחשב שלו שידע@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
ומי ערב לכך שהם לא קשורים לתוכנה ומנסים להגן על שמה
טוב אתה באמת קונספירטיבי
אין לי יותר שאלות -
@מנתח-קושחא אף אחד לא ערב לי
{חוץ מזה שאישית אני סומך עליהם אבל מעדיף שלא לפרט}
אני רק רוצה שלסיכום תכניס את דעתם
{כולל מה שג'מיני יענה על זה}@צול-גאה כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
אני רק רוצה שלסיכום תכניס את דעתם
מצטער עד עכשיו הם לא נתנו דעה בכלל ברגע שמישהו יציג פה נתון אחר ממה שהעליתי אשמח להגיב על זה אז
-
@צול-גאה כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
אני רק רוצה שלסיכום תכניס את דעתם
מצטער עד עכשיו הם לא נתנו דעה בכלל ברגע שמישהו יציג פה נתון אחר ממה שהעליתי אשמח להגיב על זה אז
@מנתח-קושחא הנה רעיון
תפתח שיחה חדשה עם ג'מיני ותשאל אותו הכל מחדש
תהיה סקפטי בכל הודעה ותבדוק אם עדיין הדו"ח יהיה חמור
למה שאני יעבוד כדי לסתור דו"ח של AI? -
@מנתח-קושחא הנה רעיון
תפתח שיחה חדשה עם ג'מיני ותשאל אותו הכל מחדש
תהיה סקפטי בכל הודעה ותבדוק אם עדיין הדו"ח יהיה חמור
למה שאני יעבוד כדי לסתור דו"ח של AI?@מתכנת-חובב אני מעדיף להאמין לפוסט הזה של @מנתח-קושחא
-
אוקי אני חזרתי מעצמי לגבי בטיחותו
-
@מתכנת-חובב אני מעדיף להאמין לפוסט הזה של @מנתח-קושחא
-
אוקי אני חזרתי מעצמי לגבי בטיחותו
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
אוקי אני חזרתי מעצמי לגבי בטיחותו
אתה לא חייב לחזור בך רק לא להשמיץ בלי להציג צד שני {עדיין יתכן שזה וירוס
}וכל הכבוד לך שאתה מסוגל ככה לחזור בך
לא כל אחד מסוגל לרדת ככה מהעץ -
@מנתח-קושחא כתב בהסבר | האם תוכנת WOT בטוחה לשימוש? ניתוח טכני של גמיני:
אוקי אני חזרתי מעצמי לגבי בטיחותו
אתה לא חייב לחזור בך רק לא להשמיץ בלי להציג צד שני {עדיין יתכן שזה וירוס
}וכל הכבוד לך שאתה מסוגל ככה לחזור בך
לא כל אחד מסוגל לרדת ככה מהעץ@צול-גאה התכוונתי בנוגע להודעה הזאת https://mitmachim.top/post/1155053
-
@צול-גאה התכוונתי בנוגע להודעה הזאת https://mitmachim.top/post/1155053
@מנתח-קושחא שחזרת אותה??
-
@מנתח-קושחא הנה רעיון
תפתח שיחה חדשה עם ג'מיני ותשאל אותו הכל מחדש
תהיה סקפטי בכל הודעה ותבדוק אם עדיין הדו"ח יהיה חמור
למה שאני יעבוד כדי לסתור דו"ח של AI?@מתכנת-חובב אני לא מבקש ממך לסתור דו"ח של AI אני מבקש ממך להתייחס לעובדות שהצפתי אם אתה טוען שהתוכנה בטוחה בטח יש לך נימוק טוב יותר מ'אל תאמין למחשבים' יש לך הוכחה טכנית שהתוכנה בטוחה?
 { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}