Ovo sto dole mozete procitati je jedna interesantna prica o gore navedenoj firmi, njenom javnom licu i njenom pravom licu
i ljudima koji u njoj rade. Dakle odakle poceti, KGB se oduvek trudio da ima imidz dobre prijateljske i komsijske firme kojoj
je skoro pa blam da uzmu vama pare za server, ali ih ipak uzmu. Ipak ispod te bajkovite spoljasnosti je jedan vrlo emotivno
neuravnotozen covek, znamo svi ko je to, Igor Krnic alias iGGi. Njegov cilj da bude monopolista na trzistu cs hostinga mu se
ostvario i postigao je skoro pa totalnu dominaciju na ovom polju ( osim jednog malog galskog sela
)sto mu je totalno pomutilo
normalno poslovno rasudjivanje (da ne spominjem utaju poreza koja se vrsi preko 15 privatnih racuna za uplate koje niko zivi ne moze da pohvata).
Poceo je sa oversellingom svojih osrednjih servera koji su poceli ocajno da rade, a sa druge strane
sve normalne poruke o tome su gusene gotovo idolopoklonickim komentarima njegovih opcinjenih korisnika. Naravno ja sam trpeo
koliko sam mogao takvu situaciju dok nisam presekao i odlucio da se preselim ko drugih, logicno uvidevsi da se situacija kod
njih nece promeniti i da moze da postane samo gore. I sad da ceo ovaj uvod ne bude rage rant dolazimo do glavnog dela, sta se desilo
kad sam ja otkazao njihovu uslugu ? Dan posle mog prelaska, tacnije ni nepunih 12 sati nakon toga server pocinje neobjasnjivo da laguje.
Buduci da ja nisam neko ko se ne razume u to kako serveri rade, te odmah ni ne krecem da se zalim hostingu ( sto je jasno bio njegov
cilj sve sa tim da mu se vratim podvijenog repa) pokusavam da vidim sta je problem, i utvrdjujem sledece preko logova
L 08/10/2010 - 18:19:19: Rcon: "rcon 531404044 "daredjekibalti" status" from "109.93.215.30:52873"
L 08/10/2010 - 18:19:27: Rcon: "rcon 531404044 "daredjekibalti" sys_ticrate 1" from "109.93.215.30:52873"
L 08/10/2010 - 18:20:44: Rcon: "rcon 531404044 "daredjekibalti" sys_ticrate " from "109.93.215.30:52873"
dakle neko podmuklo pokusava da iscenira lagovanje servera. Ja naravno odmah menjam rcon i ftp podatke i kontaktiram hosting da
sa njima utvrdim problem, zakljucujemo pricu sa simnjom ka kgb ali nista javno ne pricamo bez dokaza. Sutradan, tj danas se ponavalja
ista situacija
L 08/11/2010 - 13:40:23: Rcon: "rcon 469360825 "shalabajzer" status" from "109.93.215.30:59688"
L 08/11/2010 - 13:40:28: Rcon: "rcon 469360825 "shalabajzer" status" from "109.93.215.30:59688"
L 08/11/2010 - 13:40:33: Rcon: "rcon 469360825 "shalabajzer" sys_ticrate 1" from "109.93.215.30:59688"
Sad vec smo pomalo zabrinuti, niko nema login podatke, i krecemo metodom eliminacije, iskljucujemo mogucnost hackovanja hosting masine
jer realno niko u KGBu nije ni priblizno sposoban za nesto takvo, te spadamo na to da postoji backdoor u pluginovima. Ubrzano pregledam
listu aktivnih pluginova i gledam koji nisam licno pregledao i kompajlirao i nalazim odmah plugin svcbad_fix.amxx. Jesam ispao
naivan prebacivsi kompajliran plugin, to u tom momentu uvidjam i ubrzano pregledam ponovo logove dok pocinjem dekompajliranje datog plugina, sasvim
slucajno zagledam u adminentry.txt otvarajuci sve moguce fajlove
L 08/11/2010 - 13:40:55: Name: mon1k Real name: iGGi IP: 109.93.215.30
L 08/11/2010 - 16:54:46: Name: mon1k Real name: iGGi IP: 109.93.215.30
Iako je sad sve vise manje jasno, dekomajliran plugin, iako bez vecine native poziva otkriva odmah backdoor, hardcoded stringove
koje je iGGi iskoristio da dobije rcon ( setinfo _un iGGi, setinfo _pw 159, Rcon chat poruka, rcon_password cvar string, posalji funkcija itd.)
Dakle vrlo vazno upozorenje svim vlasnicima aktivnih KGB servera, sklanjajte pod hitno taj plugin dok vam neko ne napravi haos od servera
,evo primer kako je lako saznati rcon jednog od servera. Sto se tice onoga ko je pisao ovaj plugin, to je u nebo uzdizani tursija,
za ovo nemam tako cvrste dokaze, ali on je jedini srpki amxx "coder" koji koristi srpske reci za nazive funkcija (posalji)/
date: Wed Aug 11 20:41:07 2010 map: de_train
type | name | calls | time / min / max
-------------------------------------------------------------------
n | register_plugin | 1 | 0.000001 / 0.000001 / 0.000001
n | get_user_info | 1 | 0.000001 / 0.000001 / 0.000001
n | strcmp | 1 | 0.000000 / 0.000000 / 0.000000
n | set_task | 1 | 0.000003 / 0.000003 / 0.000003
n | get_cvar_string | 3 | 0.000038 / 0.000011 / 0.000014
n | strcat | 3 | 0.000001 / 0.000000 / 0.000001
n | client_print | 3 | 0.000014 / 0.000004 / 0.000005
p | client_connect | 1 | 0.000001 / 0.000001 / 0.000001
p | plugin_init | 1 | 0.000001 / 0.000001 / 0.000001
p | posalji | 3 | 0.000006 / 0.000002 / 0.000003
0 natives, 0 public callbacks, 3 function calls were not executed.
Ono sto se ovde vidi, pored njegovog vrlo iskvarenog karaktera, je da je potpuno nesposoban da i lose stvari sprovede pravilno,
imajuci rcon pristup on nije koristio ni proxy za konektovanje niti je promenio tako ocigledne setinfo podatke koji se ne mogu
povezati ni sa kim drugim do sa njim ( _un iGGi, _pw 159, aluzija na alfu romeo 159), a kao sto se vidi na screenshotu, ovo je
njegova "mala proljava tajna" koju je podvalio svim vlasnicima serera.
I na kraju ne mislim da se krijem, moje ime je Nebojsa Strika, 24god iz Obrenovca , na vecini online lokacija i servera poznat
pod nickom Djeki/Jack a sve sto hocete da me pitate o upravo napisanom mozete na adresi http://www.freestyle-cs.info.
i ljudima koji u njoj rade. Dakle odakle poceti, KGB se oduvek trudio da ima imidz dobre prijateljske i komsijske firme kojoj
je skoro pa blam da uzmu vama pare za server, ali ih ipak uzmu. Ipak ispod te bajkovite spoljasnosti je jedan vrlo emotivno
neuravnotozen covek, znamo svi ko je to, Igor Krnic alias iGGi. Njegov cilj da bude monopolista na trzistu cs hostinga mu se
ostvario i postigao je skoro pa totalnu dominaciju na ovom polju ( osim jednog malog galskog sela
)sto mu je totalno pomutilonormalno poslovno rasudjivanje (da ne spominjem utaju poreza koja se vrsi preko 15 privatnih racuna za uplate koje niko zivi ne moze da pohvata).
Poceo je sa oversellingom svojih osrednjih servera koji su poceli ocajno da rade, a sa druge strane
sve normalne poruke o tome su gusene gotovo idolopoklonickim komentarima njegovih opcinjenih korisnika. Naravno ja sam trpeo
koliko sam mogao takvu situaciju dok nisam presekao i odlucio da se preselim ko drugih, logicno uvidevsi da se situacija kod
njih nece promeniti i da moze da postane samo gore. I sad da ceo ovaj uvod ne bude rage rant dolazimo do glavnog dela, sta se desilo
kad sam ja otkazao njihovu uslugu ? Dan posle mog prelaska, tacnije ni nepunih 12 sati nakon toga server pocinje neobjasnjivo da laguje.
Buduci da ja nisam neko ko se ne razume u to kako serveri rade, te odmah ni ne krecem da se zalim hostingu ( sto je jasno bio njegov
cilj sve sa tim da mu se vratim podvijenog repa) pokusavam da vidim sta je problem, i utvrdjujem sledece preko logova
L 08/10/2010 - 18:19:19: Rcon: "rcon 531404044 "daredjekibalti" status" from "109.93.215.30:52873"
L 08/10/2010 - 18:19:27: Rcon: "rcon 531404044 "daredjekibalti" sys_ticrate 1" from "109.93.215.30:52873"
L 08/10/2010 - 18:20:44: Rcon: "rcon 531404044 "daredjekibalti" sys_ticrate " from "109.93.215.30:52873"
dakle neko podmuklo pokusava da iscenira lagovanje servera. Ja naravno odmah menjam rcon i ftp podatke i kontaktiram hosting da
sa njima utvrdim problem, zakljucujemo pricu sa simnjom ka kgb ali nista javno ne pricamo bez dokaza. Sutradan, tj danas se ponavalja
ista situacija
L 08/11/2010 - 13:40:23: Rcon: "rcon 469360825 "shalabajzer" status" from "109.93.215.30:59688"
L 08/11/2010 - 13:40:28: Rcon: "rcon 469360825 "shalabajzer" status" from "109.93.215.30:59688"
L 08/11/2010 - 13:40:33: Rcon: "rcon 469360825 "shalabajzer" sys_ticrate 1" from "109.93.215.30:59688"
Sad vec smo pomalo zabrinuti, niko nema login podatke, i krecemo metodom eliminacije, iskljucujemo mogucnost hackovanja hosting masine
jer realno niko u KGBu nije ni priblizno sposoban za nesto takvo, te spadamo na to da postoji backdoor u pluginovima. Ubrzano pregledam
listu aktivnih pluginova i gledam koji nisam licno pregledao i kompajlirao i nalazim odmah plugin svcbad_fix.amxx. Jesam ispao
naivan prebacivsi kompajliran plugin, to u tom momentu uvidjam i ubrzano pregledam ponovo logove dok pocinjem dekompajliranje datog plugina, sasvim
slucajno zagledam u adminentry.txt otvarajuci sve moguce fajlove
L 08/11/2010 - 13:40:55: Name: mon1k Real name: iGGi IP: 109.93.215.30
L 08/11/2010 - 16:54:46: Name: mon1k Real name: iGGi IP: 109.93.215.30
Iako je sad sve vise manje jasno, dekomajliran plugin, iako bez vecine native poziva otkriva odmah backdoor, hardcoded stringove
koje je iGGi iskoristio da dobije rcon ( setinfo _un iGGi, setinfo _pw 159, Rcon chat poruka, rcon_password cvar string, posalji funkcija itd.)
Dakle vrlo vazno upozorenje svim vlasnicima aktivnih KGB servera, sklanjajte pod hitno taj plugin dok vam neko ne napravi haos od servera
,evo primer kako je lako saznati rcon jednog od servera. Sto se tice onoga ko je pisao ovaj plugin, to je u nebo uzdizani tursija,
za ovo nemam tako cvrste dokaze, ali on je jedini srpki amxx "coder" koji koristi srpske reci za nazive funkcija (posalji)/
date: Wed Aug 11 20:41:07 2010 map: de_train
type | name | calls | time / min / max
-------------------------------------------------------------------
n | register_plugin | 1 | 0.000001 / 0.000001 / 0.000001
n | get_user_info | 1 | 0.000001 / 0.000001 / 0.000001
n | strcmp | 1 | 0.000000 / 0.000000 / 0.000000
n | set_task | 1 | 0.000003 / 0.000003 / 0.000003
n | get_cvar_string | 3 | 0.000038 / 0.000011 / 0.000014
n | strcat | 3 | 0.000001 / 0.000000 / 0.000001
n | client_print | 3 | 0.000014 / 0.000004 / 0.000005
p | client_connect | 1 | 0.000001 / 0.000001 / 0.000001
p | plugin_init | 1 | 0.000001 / 0.000001 / 0.000001
p | posalji | 3 | 0.000006 / 0.000002 / 0.000003
0 natives, 0 public callbacks, 3 function calls were not executed.
Ono sto se ovde vidi, pored njegovog vrlo iskvarenog karaktera, je da je potpuno nesposoban da i lose stvari sprovede pravilno,
imajuci rcon pristup on nije koristio ni proxy za konektovanje niti je promenio tako ocigledne setinfo podatke koji se ne mogu
povezati ni sa kim drugim do sa njim ( _un iGGi, _pw 159, aluzija na alfu romeo 159), a kao sto se vidi na screenshotu, ovo je
njegova "mala proljava tajna" koju je podvalio svim vlasnicima serera.
I na kraju ne mislim da se krijem, moje ime je Nebojsa Strika, 24god iz Obrenovca , na vecini online lokacija i servera poznat
pod nickom Djeki/Jack a sve sto hocete da me pitate o upravo napisanom mozete na adresi http://www.freestyle-cs.info.
A da on sad ide to redom kakvi x)
:D:D:D