--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Домру подменяет сайты своей рекламой

Дом.ru
4348
64
С друзьями на NN.RU
В социальных сетях
Поделиться
omg-i-am-rus
14.08.2017
Открываешь сайт из закладок - а там привет от домры, типа приходите, покупайте, подключайтесь. Заколебали совать свою рекламу, каждые несколько дней вылезает. Раньше в конце месяца предлагали пополнить счет - ну это ОК, а сейчас ни в какие ворота уже.
Доколе?
они давно такой фигней страдают.
vladmir
14.08.2017
Поставьте адблокплюс или ещё какой резальщик рекламы.
не поможет, вмешиваются в трафик
Free Cat
16.08.2017
ну да *pardon* . никакие блокираторы тут не работают *pardon* .
RealVaVa
16.08.2017
Чисто теоретически - habrahabr.ru/post/335436/
FreeCat
17.08.2017
ну в принципе, наверное, можно ... блокировку то похожим способом обходят :) ...
так спросите , когда можно будет получить денежное вознаграждение, за просмотр рекламы. я бы позвонил им раз 15 с этим вопросом
а смысл, я буду на линии висеть в ожидании оператора в 10 раз больше времени разговора, в итоге я свое время потрачу
RealVaVa
16.08.2017
И, по факту, получится, что каждому оператору по одному разу вопрос будет задан - как капля в море.
Коллективный иск - вот это выход. Каждому конкретно особо много в качестве компенсации может и не достанется, но в качестве знака протеста будет замечательно и для других ненасытных уроком.
Если надо будет подписать, я в теме если что!
Нормальные сайты переходят на SSL чтобы такой фигни не было.
нормальные провайдеры такой херней не страдают.
В нешифрованный трафик вмешиваться может кто угодно и провайдер со своей рекламой это ещё самый безобидный вредитель. Все адекватные сайтовладельцы перешли на SSL, остальные уже переходят, остаются только дураки.
кто же там более "обидный" вредитель? разве что ФСБ..
кто угодно вмешаться не может, а только тот через кого идет ваш трафик.
Вы так говорите, будто на всем протяжении пути от вас к сайту линия очень хорошо защищена что вмешаться никто не может...
может, но кто?
Не слышал я о подобных атаках.
может

Этого уже достаточно чтобы принять меры противодействия.

Не слышал я о подобных атаках.

Ну вот же пример www.nn.ru/popup.php?c=classF...pic_id=181654980
RK
15.08.2017
Домру вроде просто выдает свою заглушку, а не подменяет содержимое.
Это технически, а по факту подмена и есть :-D
RK
15.08.2017
Таки почему SSL должен от этого спасти, если до шифрования дело не дойдет?
Как это не дойдёт?
RK
15.08.2017
Клиент сначала шлет CONNECT host:port ... Сервер (домру вместо него) отвечает 200 OK. Оба без шифрования, ессно. Дальше возможны варианты, самый примитивный - действуем сами как SSL хост. Браузер возмутится, выдаст предупреждения с перечеркнутыми замками, но соединение будет, если на том конце мы не воспрепятствуем. То, что сам пробовал. Уверен, что есть способы сделать это не так коряво. причем это только в случае, если юзер сам набрал https://, если http:// и на стороне сервера переадресация, то просто выдаем свою страницу и браузер доволен.
Что тут говорить, на любой сайт из реестра домру выдает свою заглушку, независимо что там использует конечный сайт. Идея им: набираешь rutracker, а тебе сверху ай-яй-яй, а снизу рекламу какого-нить сайта с легальным контентом.
Браузер возмутится, выдаст предупреждения с перечеркнутыми замками

Да, и вот тут уже пользователь будет решать продолжать ли соединение, но пока не разрешит, браузер сайт ему не покажет и даже кукисов не отошлёт.

Уверен, что есть способы сделать это не так коряво.

Нет никаких способов, кроме редких случаев если тебе вдруг удастся обнаружить дыру в протоколе (случай был, но фактов использования злоумышленниками до обнаружения дыры не известно). Другой способ заключается в том чтобы подкупить удостоверяющий центр чтобы он выдал тебе сертификат для чужого домена. Но нормальные удостоверяющие центры дорожат своей репутацией, т.к. если такой случай будет обнаружен, то они утратят доверие и их сертификат просто выкинут из браузеров, как например в случае с WoSign.

если юзер сам набрал https://, если http:// и на стороне сервера переадресация, то просто выдаем свою страницу и браузер доволен.

Есть шанс, но это надо чтобы на сайте отсутствовал HSTS либо он присутствует, но пользователь заходит на него впервые. А ещё есть статические списки HSTS (вообще идея не очень и скорей всего это временное явление, пока https не сделают дефолтом в браузерах). Вообще в ближайшем будущем при наборе адреса без протокола браузеры скорей всего будут сперва пытаться открыть сайт по https.

Что тут говорить, на любой сайт из реестра домру выдает свою заглушку, независимо что там использует конечный сайт. Идея им: набираешь rutracker, а тебе сверху ай-яй-яй, а снизу рекламу какого-нить сайта с легальным контентом.

Ну да, а когда сайт работал по https провайдеры просто дропают соединение.
RK
15.08.2017
BrainFucker писал(а)
Нет никаких способов, кроме редких случаев если тебе вдруг удастся обнаружить дыру в протоколе (случай был, но фактов использования злоумышленниками до обнаружения дыры не известно). Другой способ заключается в том чтобы подкупить удостоверяющий центр чтобы он выдал тебе сертификат для чужого домена.

Не дыра это, до SSL/TLS не доходит. Так все прокси серверы работают, и если тебе нельзя куда-то, то могут не просто дропнуть, а показать свою страницу, что ты хотел и почему тебе нельзя. Того сайта может вообще не существовать...
Так все прокси серверы работают, и если тебе нельзя куда-то, то могут не просто дропнуть, а показать свою страницу, что ты хотел и почему тебе нельзя.

Какие прокси серверы? Дайте хоть пример чтобы можно было воспроизвести. Единственное где я такое наблюдал это браузер Opera Mini, там такое возможно только из-за реализации самого браузера. Ну так это можно браузер специально такой выпустить чтобы он игнорировал невалидные сертификаты. Но у миниоперы особенность такая что там ssl соединение только между сайтом и серверами opera software, а между клиентом и их серверами уже соединение по своему протоколу. С обычными браузерами такой вариант не прокатит (если конечно не нарушить нормальную работу браузера какими нибудь плагинами).

А про случай когда пользователь открывает по http вместо https, я уже описал выше как это может произойти и это пока временное явление пока https не сделали протоколом по умолчанию в браузерах, повторю ещё раз при каких обстоятельствах это срабатывает: это надо чтобы на сайте отсутствовал HSTS либо он присутствует, но пользователь заходит на него впервые. А ещё есть статические списки HSTS (вообще идея не очень и скорей всего это временное явление, пока https не сделают дефолтом в браузерах). Вообще в ближайшем будущем при наборе адреса без протокола браузеры скорей всего будут сперва пытаться открыть сайт по https.

А просто взять и выдать себя за другой сайт при попытке открыть по https не получится, браузер покажет ошибку: i.imgur.com/pAIPnaz.png (я попытался подменить IP сайта и направить на другой сервер).
RK
16.08.2017
BrainFucker писал(а)
Какие прокси серверы? Дайте хоть пример чтобы можно было воспроизвести.

Да любые наверно, есть у нас сайт в списке запрещенных который чисто https? :) Неужели его домру тихо дропнет, не показав свою страницу?
BrainFucker писал(а)
А просто взять и выдать себя за другой сайт при попытке открыть по https не получится, браузер покажет ошибку: i.imgur.com/pAIPnaz.png (я попытался подменить IP сайта и направить на другой сервер)

Если "Подробнее" нажать, там что? Я делал для своих целей так как выше написал (ответ на CONNECT и соединение 2 сокетов напрямую, дальше шифрованное соединение не моя забота): ругань, что сертификат не соответствует серверу, но работало в той степени что мне надо, с тем сервером что мне надо.

Примерно как-то так
stackoverflow.com/questions/...n-ssl-connection
Да любые наверно,

Никакие. Обычный прокси сервер просто передаёт пакеты как есть без вмешательства. Без задействования каких либо уязвимостей в браузерах обмануть их ну никак нельзя.

есть у нас сайт в списке запрещенных который чисто https? :)

Попадались, по памяти не подскажу.

Неужели его домру тихо дропнет, не показав свою страницу?

Билайн заглушку показывает только для http сайтов, а https сайты просто дропал. Про дом.ру вроде бывали сообщения от пользователей что у них браузеры бывало жаловались что дом.ру пытался влезть, но браузер показывал стандартную ошибку сертификата, что я привёл выше, возможно надеялись что пользователи будут добавлять в исключения, продолжают ли они так делать сейчас я не знаю. Но факт то что браузер не позволяет без ведома пользователя такой сайт с невалидным сертификатом открыть.

Примерно как-то так stackoverflow.com/questions/...n-ssl-connection

Ну вот там правильно в ответе написано: The proxy doesn't play any role in the handshake (and thus with SNI). The TLS handshake effectively happens directly between the client and the end server.

Если "Подробнее" нажать, там что?

i.imgur.com/bsHhZdc.png (я в /etc/hosts прописал гугловский IP для www.nn.ru ).
RK
16.08.2017
Да, похоже я был не прав с "уверен, что есть способы сделать это не так коряво". Действительно, нельзя.
Хе, если все на https перейдут, и не узнаешь то ли сайт не работает, то ли заблокирован или баланс кончился.
BrainFucker писал(а)
Нормальные сайты переходят на SSL чтобы такой фигни не было. ...

Прям вот 100% нормальных сайтов?
Подскажите хотя бы три нормальных сайта, которые не собираются переходить.
vladmir
15.08.2017
Откуда вы знаете кто куда собирается на тысячах-тысячах сайтов?
Это просто логично, сейчас все нормальные сайты начали переходить, а самые нормальные давно уже перешли. Остальные сайты просто не админятся и владельцы спохватятся только когда уже браузеры будут предупреждать пользователя о небезопасности посещения такого сайта (сейчас пока предупреждают если есть форма ввода пароля). Но как правило такие сайты обычно хлам всякий.
vladmir
15.08.2017
Сегодня на одном сайте местного магаза браузер предупредил
"... uses an invalid security certificate."
"Владелец ... неправильно настроил свой веб-сайт. Чтобы защитить вашу информацию от кражи, Firefox не соединился с этим веб-сайтом."

Вчера на другом было...
Либо кто-то пытался вмешаться в трафик, либо владелец сайта таки неправильно настроил сервер :-D
vladmir
15.08.2017
Ну ясно владелец.
На http нормально открывается, на https через разрешение в браузере.
Не показатель. Через http ты и не узнаешь что кто-то вмешался в трафик и что-то подменил в выдаваемой странице, а в случае с https браузер это заметит и предупредит.
vladmir
17.08.2017
С расширением NoScript ещё проявляется местами


Download problems with NoScript active

If you are using NoScript you might encounter a certificate error when trying to download ... from this site. NoScript tries to force an https connection for an http only site. It is not a NoScript problem but how the ... server, from which downloads are delivered, is configured.

In this case please add ... to the NoScript "Never force secure (HTTPS) connections" options or turn off NoScript for this download only. The settings are located in the NoScript options under "Advanced->HTTPS".
К чему это было написано? Причём тут https, проблемы в стороннем расширении и криво настроенном сайте?
RK
21.08.2017
Вот к примеру, нормальные или как? :)
thg.ru
xlinenn.ru
Судя по внешнему виду, сайты как были созданы в начале нулевых, так ниразу и не менялись, особенно первый вырвиглазен. Полузаброшенные сайты. И откуда инфа что не собираются переходить?
RK
22.08.2017
Раз эти не нравятся, вот еще тогда

www.banki.ru
varlamov.ru
www.securitylab.ru
www.cnews.ru
3dtoday.ru

И контрольный в голову... Икея
www.ikea.com

Я не знаю, собираются они переходить или нет. Наверное, собираются. Я со своей уютненькой парочкой сайтов тоже, можно сказать, собираюсь. Как загнобят совсем, так и придется. А пока не вижу смысла платить еще и за сертификат ощутимую сумму для сайта, который не для извлечения прибыли.
Из всего этого удивило только то что сайт Икеи до сих пор не внедрил, остальное ерунда. А что касается сайта Варламова, он вообще на движке LJ, этот сервис давно уже протух и не развивается.

А пока не вижу смысла платить еще и за сертификат ощутимую сумму для сайта, который не для извлечения прибыли.

Для таких сайтов есть бесплатные сертификаты от Let's Encrypt. Хотя и не только для таких, для коммерческих тоже можно, если денег жалко.
RK
22.08.2017
Насчет Let's encrypt... Нет гарантии, что _внезапно_ не станет платно. Так уже бывало с другими.
Кстати. Вчера, ткнув на портрет пользователя здесь, получил страницу рекламы от Дом.ру. Какой-то ннру не до конца https...
Free Cat
22.08.2017
RK писал(а)
Вчера, ткнув на портрет пользователя здесь, получил страницу рекламы от Дом.ру. Какой-то ннру не до конца https..

ну в самом деле с https от ннру не все так хорошо как хотелось бы *pardon* .
Насчет Let's encrypt... Нет гарантии, что _внезапно_ не станет платно. Так уже бывало с другими.

Внезапно вряд ли станет, там хорошие спонсоры. Несколько лет всяко проживут, а там уже и рынок сертификатов изменится, не без их влияния. В любом случае лучше уж иметь бесплатно сейчас пока есть чем не иметь. От того что ты принципиально пользоваться не будешь ты как минимум ничего не выиграешь.

Кстати. Вчера, ткнув на портрет пользователя здесь, получил страницу рекламы от Дом.ру. Какой-то ннру не до конца https

Они ещё только внедряют, о проблемах стоило бы сообщить разработчикам. Тут правда рекламу Дом.ру они и сами могут совать :-D
в ФАС заяву накатайте
FreeCat
15.08.2017
omg-i-am-rus писал(а)
каждые несколько дней вылезает

раз в 1-2 месяца только видел :) .
MaxFrodo
15.08.2017
кто-бы сомневался.
раз в 1-2 месяца только видел :) . ...

полгода назад так и было, а теперь напрягает
FreeCat
16.08.2017
стал вспомнинать когда последний раз такой было у мня .. или конец мая или начало июня *scratch* ...
7aladin
15.08.2017
Создайте заявку. Спросите законность вмешательства в ваш трафик.
djabel
15.08.2017
Часто стали в последнее время. 4 раза видел за последний месяц. Может 3. Вчера накатал жалобу в Роскомнадзор, предварительно запринтскринив экран
Aeksandr
22.08.2017
Я думаю, что в договоре на предоставление услуги есть пункт о "рекламе и акциях компании".
Если в договоре нет такого пункта, то ст.18 закона о рекламе
FreeCat
22.08.2017
Aeksandr писал(а)
в договоре

скорее в Панели управления :) .
djabel
22.08.2017
Я договор в 2009 году заключал. Я что помню чтоли есть она там или нет эта строчка
FreeCat
23.08.2017
Посмотри в ЛК. Тем более после "глобальных обновлений" там часто сбрасывается всё на состояние "по умолчанию" *pardon* ... у мня так раза 3 или 4 было *pardon* ... может и больше, но тогда значит не было ещё параметра, по кторому я отслеживаю это ;-) .
madrock
23.08.2017
Галка о том что я согласен получать уведомления у меня не стоит, но вчера рекламное сообщение о скидочных ТВ пакетах да еще и звонок от домру)

Мистика. вот как от такого отказаться?
FreeCat
23.08.2017
попробуй включить и выключить :) .
Free Cat
23.08.2017
djabel писал(а)
Я договор в 2009 году заключал

Я, кстати, тоже ... только в конце года уже :) ... так что всё могло сброситься не раз уже ... выше я написал почему :) ...
randomize
24.08.2017
Вот поэтому ни в 2009-м году, ни в 2017-м я не заключал и не собираюсь заключать договор с домсру, как бы они не усирались со звонками, ни как физик, ни как юрик. Еще во времена, когда они штраф за отключение брали, было ясно что это за люди.
FreeCat
24.08.2017
значит ты свободен :) ... от них :-D ...
vladmir
24.08.2017
djabel писал(а)
Я что помню чтоли есть она там или нет эта строчка
===
А там нет строчки, как у ростелекома, о том, что они что хотят пишут и меняют у себя на сайте и это и есть действующий договор? Типа их сайт - часть договора с клиентом, - как-то так.
djabel
24.08.2017
Не знаю. Я договор с Домру выбросил в 2010-м. Ни разу не звонил им, всегда все работало прекрасно
Решил вопрос с рекламой через техподдержку, обещали сделать пометку на договоре и отключить через 2 недели. Бывает же...
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем