Todas Atividades

Bom dia, pessoal! Estive ausente por um tempo, mas estou de volta. Gostaria de compartilhar com vocês um relatório técnico e detalhado de auditoria de segurança e conformidade referente ao VOXPANEL (versão atualmente em circulação e comercialização no mercado). 1. Análise de Integridade dos ArquivosArquivo Tamanho Conteúdo Identificado Integridade video.zip 623.85 MB Painel de streaming de vídeo, binários Wowza, FFmpeg e scripts AlmaLinux Íntegro audio.zip 507.08 MB Painel PHP de áudio, AutoDJ, Shoutcast/Icecast, WebFTP e utilitários Íntegro Hashes SHA-256 (para validação do pacote analisado): video.zip: 18de23f7ba919b96ff01fd6f8feea174f3906062ac6c210d95a44ed4cd0c022d audio.zip: 2fc22326a6ced6a2db2b5dac7257bdfa0a4ba4c5acd6653e15225f4daf5f52492. Problemas Críticos de Infraestrutura e SOOs scripts automáticos de instalação realizam alterações profundas e inseguras no sistema operacional: Desativação de Segurança: O firewalld e o SELinux são desativados por padrão. Limpeza de Regras de Firewall: Executam iptables -F, apagando todas as regras pré-existentes no servidor. Downgrade de Criptografia: Forçam o uso do protocolo SHA-1 via update-crypto-policies --set DEFAULT:SHA1, enfraquecendo a segurança do sistema. Sobrescrita do DNS: Alteram o /etc/resolv.conf para resolver via DNS público sem confirmação. Permissões Inseguras: Aplicam permissão chmod 777 de forma recursiva em pastas do painel, permitindo leitura/escrita por qualquer usuário local. Alteração da Porta SSH: Trocam a porta padrão do SSH sem validação prévia de conectividade, podendo gerar bloqueio de acesso ao servidor. Falta de Validação em Downloads: Baixam utilitários e repositórios remotos sem checagem de integridade (Hash/PGP) ou fixação de commit/tag, ficando vulneráveis a ataques de Supply Chain. Pilha de Software Legada: Utiliza PHP 7.4 (descontinuado e sem correções de segurança). Contém versão antiga do FFmpeg (4.4), RAR 5.5.0 e Android Build Tools 28.0.3. 3. Vulnerabilidades no Código-Fonte (PHP)A. Injeção de SQL (SQLi)Constatou-se a concatenação direta de entradas de usuários ($_POST, $_GET e $_SESSION) diretamente nas consultas SQL, sem qualquer higienização ou uso de Prepared Statements: // Exemplo de trecho vulnerável no código: mysqli_query( $conexao, "SELECT * FROM streamings WHERE porta = '".$_POST["porta"]."' AND senha = '".$_POST["senha"]."'" );Impacto: Permite desvio de autenticação, vazamento integral do banco de dados e elevação de privilégios. B. Injeção de Comandos de Sistema (Remote Code Execution / RCE)Uso ostensivo da função shell_exec() passando parâmetros vindos do usuário sem a devida sanitização (escapeshellarg / escapeshellcmd): // Exemplo de concatenação insegura em chamada SSH: $ssh->executar('... -i "'.$_POST["url_camera"].'" ...');Impacto: Permite que um atacante execute comandos arbitrários no sistema operacional com os privilégios do serviço web. C. Gestão de Credenciais e SessõesSenhas de streaming salvas em texto limpo no banco. Senhas de revenda criptografadas com a função legada PASSWORD() do MySQL (em vez de padrões modernos como bcrypt ou Argon2id). Ausência de renovação de ID de sessão após login (vulnerável a Session Fixation). Ausência de tokens CSRF na validação de formulários. 4. Credenciais e Informações Sensíveis ExpostasKeystore Android Hardcoded: Foi identificada uma senha fixa de assinatura de APKs e AABs gravada diretamente nos arquivos de script de compilação: [CENSURADO_CHAVE_PRIVADA_ANDROID]Nota: Qualquer app gerado pelo painel compartilha a mesma chave de assinatura, comprometendo a autenticidade e permitindo engenharia reversa/trojanização. Lógica de Senha Previsível: O instalador gera a senha do usuário root/streaming do sistema com base no Hash MD5 do domínio truncado em 10 caracteres: echo "streaming:$(echo "$dominio_painel" | md5sum | head -c 10)" | chpasswdNota: Sabendo o domínio do servidor, qualquer terceiro pode recalcular a senha exata. 5. Riscos de Privacidade e Inconformidade com a LGPD (Lei nº 13.709/2018)O código legado apresenta risco alto de não conformidade legal, principalmente porque coleta e processa dados pessoais sem mecanismos visíveis de governança, segurança e atendimento aos direitos dos titulares. A. Mapeamento de Dados Pessoais IdentificadosDados Tratados Locais de Ocorrência no Código Nome e E-mail Pedidos musicais, formulários de usuários, revendas e administradores Endereço IP Logs de login, estatísticas de ouvintes, pedidos e auditoria Cidade, Estado e País Geolocalização aproximada por IP Data e Hora de Acesso Logs de login e registros de atividades Histórico de Ações Logs administrativos e operacionais do painel Player e Dispositivo Estatísticas dos ouvintes e metadados de acesso Tempo Conectado Relatórios de audiência Credenciais de Acesso Usuários, DJs, serviços de streaming, servidores, FTP e SSH Imagem e Voz Transmissões e gravações de áudio/vídeo Redes Sociais e WhatsApp Páginas e players administráveis B. Inconformidades Críticas com os Princípios da LGPDAusência de Finalidade e Base Legal: Não há registro de base legal aplicável, políticas de privacidade adequadas, avisos aos ouvintes ou mecanismo de gestão de consentimentos. Coleta Excessiva (Violação do Princípio da Minimização): O sistema armazena simultaneamente IP, localização, tempo conectado, player, músicas solicitadas, data, hora, nome e e-mail sem demonstração de necessidade técnica. Retenção Indefinida de Dados: Logs e estatísticas permanecem gravados no banco por tempo indeterminado, sem rotinas de expurgo automático, anonimização ou política de descarte de backups. Falha Grave no Dever de Segurança (Art. 46): Todas as vulnerabilidades técnicas listadas (SQLi, RCE, senhas em texto puro, chmod 777) constituem violação direta ao artigo 46 da LGPD, que exige medidas técnicas capazes de proteger dados contra acessos não autorizados. Ausência de Mecanismos para Direitos dos Titulares: O painel não possui ferramentas para que o titular solicite confirmação de tratamento, acesso, correção, exclusão, anonimização, oposição ou portabilidade. Transferência Internacional e Terceiros Sem Controle: Integrações com serviços externos (geolocalização, Spotify, YouTube, SoundCloud, CDNs) ocorrem sem inventário de fornecedores e sem regras claras para transferência internacional de dados. Papéis Indefinidos (Controlador vs. Operador): Em um modelo SaaS, as responsabilidades entre a plataforma e o cliente (rádio/TV) precisam estar contratualmente estabelecidas, o que não ocorre na estrutura legada. Ausência de Gestão de Incidentes: Não existe plano de resposta, registro de ocorrências ou modelos de notificação à ANPD e aos titulares em caso de vazamento. Dados Sensíveis em Transmissões: Transmissões de áudio/vídeo contêm dados biométricos (voz/imagem) e podem revelar dados sensíveis (opinião política, religião, saúde). O sistema não oferece controle restrito de acesso, temporalidade nem proteção especial para dados de crianças/adolescentes. C. Matriz de Risco LGPDÁrea de Avaliação Nível de Risco Transparência e Avisos CRÍTICO Segurança da Informação CRÍTICO Direitos dos Titulares CRÍTICO Plano de Resposta a Incidentes CRÍTICO Evidências e Governança CRÍTICO Retenção e Descarte de Dados ALTO Gestão de Fornecedores ALTO Transferência Internacional ALTO 6. Presença de Malwares / BackdoorsResultado da inspeção estática: Não foram encontrados padrões clássicos de webshells ofuscadas (ex: eval(base64_decode(...))). Não foi identificado nenhum backdoor explícito nos arquivos de script primários. Atenção: A ausência de um backdoor explícito não torna o sistema seguro. O volume de vulnerabilidades de SQLi e Command Injection presentes no código permite o comprometimento total do servidor por agentes externos a qualquer momento. 7. Veredito TécnicoSegurança para Produção: CRÍTICA / INADEQUADA Conformidade LGPD: NÃO CONFORME Qualidade do Código: Legado / Obsoleto Recomendação para VPS Pública: Contraindicado Ambiente de Testes: Apenas em VM/Sandbox isolada, sem acesso a dados reais e sem exposição externa. Recomendações para Refatoração: Para viabilizar o uso profissional do software, é necessária uma reestruturação completa: migração para AlmaLinux 9, atualização para PHP 8.3/8.4, implementação de Prepared Statements, criptografia Argon2id, proteção CSRF, execução de processos isolados, firewall ativo, sanitarização de entradas de linha de comando e implementação de um programa de adequação à LGPD com RIPD (Relatório de Impacto à Proteção de Dados Pessoais).

A DDR Host está expandindo sua atuação no mercado de hospedagem e busca adquirir carteiras de clientes de empresas, revendedores e profissionais que desejam encerrar suas atividades ou reduzir sua operação. Se você possui clientes ativos de hospedagem de sites, hospedagem revenda (cPanel, DirectAdmin ou Plesk), podemos apresentar uma proposta justa, transparente e com total sigilo durante todo o processo. O que buscamosEstamos interessados principalmente em: Carteiras de clientes de Hospedagem de Sites; Carteiras de Revenda de Hospedagem; Empresas de hospedagem em processo de encerramento; Revendedores que desejam vender sua base de clientes; Operações que necessitam de uma migração organizada para outro provedor. Como funcionaNossa equipe realiza uma análise da carteira considerando fatores como quantidade de clientes ativos, faturamento recorrente, índice de inadimplência, tempo de permanência dos clientes e demais características da operação. Após essa avaliação, apresentamos uma proposta comercial sem compromisso. Caso o acordo seja fechado, cuidamos de todo o processo de transição, incluindo a migração dos serviços, comunicação com os clientes quando necessário e acompanhamento técnico para que a mudança ocorra com o mínimo impacto possível. Por que negociar com a DDR Host?Mais de uma década de experiência no mercado de hospedagem; Processo rápido e confidencial; Equipe técnica especializada em migração de servidores; Pagamento conforme a negociação; Continuidade dos serviços com suporte especializado para os clientes adquiridos. Vamos conversar?Se você está pensando em vender sua carteira de clientes ou conhece alguém que tenha interesse, entre em contato com nossa equipe. comercial@ddrhost.com.br

cPanel virou uma zona hein

estou de numero novo quem tiver interessado em comprar o LAGOM fale comigo 6499645-0676

em euro 240 euro dividido da 48 euros, resultando 281,03 em reais

Pessoal, As atualizações do cPanel já foram liberadas. Bruno.

to dentro vc tem que contar em dolares 299 dalares dividido em 5 da 59,80 dolares ou seja em reais da R$307,34

Acabei de ver esse topico no reddit: https://www.reddit.com/r/cpanel/comments/1va1aef/3_new_vulnerabilities_announced/ Trex comentou que em breve ja deve ter atualizações...

Até o momento ninguém confirmou

Já conseguiu quantos para a divisão?

Show ficando top, depois manda valor que vai cobrar! eu mesmo nem usa mais whmcs devido a valores muito caro. Obrigado!!!

Já estamos trabalhando no modulo Boleto C6 Bank ❤️

Esse é o caminho, whmcs vai começar a perder clientes pela sua ganancia. Inicio do ano tive que sair do whmcs e desenvolvi meu próprio painel, mil vezes mais otimizado, mil vezes mais seguro e mais fácil integração com outras aplicações. O seu está ótimo, só se atente a todas as brechas de segurança possível.

Parabéns Maik e sucesso com essa nova jornada!! Obs¹: Curti bastante o novo site!! Obs²: Agora que já atualizou tudo, toma vergonha na cara e lança Boleto C6 hahahah

48 euros para cada um Estou cotando no site deles

Qual seria o valor ?

Estou desenvolvendo um painel de gestão de clientes e faturamento para um amigo que atua no ramo de hosting. Vou deixar alguns prints de demonstração do painel para vocês darem a opinião de vocês. O sistema já está com cerca de 80% concluído e conta com gerenciamento de servidores de jogos, VPS e hospedagem cPanel. Fico no aguardo do feedback de vocês. TMJ! 🚀 Aceito críticas construtivas!

Olá pessoal, tudo certo? Busco 4 pessoas para comprarmos em conjunto a licença para 5 domínios do tema Lagom para o WHMCS Bora se reunir pessoal!

Uma nova marca, o mesmo compromisso com você.Temos uma novidade importante para compartilhar! A partir de agora, a MMHospedagem passa a se chamar MVO. Essa mudança representa a evolução natural da nossa empresa. Ao longo dos anos, expandimos nossa atuação para muito além da hospedagem de sites, oferecendo soluções em cloud, infraestrutura, segurança, servidores, conectividade e tecnologia para empresas de todos os portes. Nossa nova identidade acompanha esse crescimento, mantendo tudo aquilo que sempre fez parte da nossa essência. O que muda?Nossa marca passa a ser MVO. Nosso site e nossa identidade visual serão atualizados. Alguns endereços de e-mail, materiais e comunicações passarão a utilizar a nova marca. O que NÃO muda?Seus serviços continuam funcionando normalmente. Seus contratos permanecem os mesmos. Seus acessos e credenciais continuam válidos. Nossa equipe de suporte continua à disposição. O compromisso com qualidade, estabilidade e atendimento permanece o mesmo. Essa mudança reforça nossa visão de futuro e nossa missão de entregar soluções cada vez mais completas para nossos clientes e parceiros. Agradecemos a confiança depositada em nossa equipe durante todos esses anos. Esperamos continuar fazendo parte da evolução do seu negócio nesta nova fase da MVO. Bem-vindo à nova marca. Bem-vindo à MVO. https://mvo.host

Pessoal boa noite , fui restaurar um backup via ftp feito de uma revenda directadmin este foi feito pelo painel de revendedor na ferramenta do próprio painel administrador de backup ( gerar ou restaurar), quando restaurei o backup com sucesso no servidor vps foi tudo ok menos os contatos salvos no webmail da conta do cliente . Antigamente conseguia fazendo o mesmo procedimento com sucesso contatos de cada conta de e-mail salvos com sucesso agora salva mensagem de cada conta mas contatos , assinatura de email nada .

Desenvolvi dois plugins para meu uso aqui nos meus servidores directadmin, acredito que sejam bem interessantes para agilizar o nosso dia a dia. 1. Plugin AntiSpam SPFBL para DirectAdmin Principais funcionalidadesConsulta do histórico de recebimentos por domínio. Pesquisa e filtragem dos registros apresentados. Visualização dos detalhes de cada recebimento. Consulta do estado atual da regra na SPFBL. Liberação ou bloqueio de recebimentos diretamente pela interface. Paginação do histórico. Seleção entre os domínios disponíveis para cada conta. Detecção automática do hostname do servidor. Configuração e teste das credenciais SPFBL pelo painel administrativo. Interface integrada ao DirectAdmin e compatível com seus diferentes níveis de acesso. Níveis de acessoAdmin Level Pode consultar todos os domínios existentes no servidor. Pode configurar, testar e substituir a credencial utilizada na integração com a SPFBL. Possui acesso às ações de consulta, liberação e bloqueio. Reseller Level Pode consultar os domínios da própria conta e dos usuários pertencentes ao reseller. Não possui acesso à configuração global das credenciais. Pode executar as ações SPFBL somente nos domínios autorizados. User Level Pode consultar exclusivamente o domínio principal e os domínios adicionais pertencentes à própria conta. Não possui acesso a domínios de outras contas. Pode consultar o histórico e executar ações somente nos seus domínios. SegurançaA autorização dos domínios é validada novamente no backend em cada requisição. O plugin não confia apenas no domínio enviado pelo navegador. Também foram implementados: Validação server-side do escopo de cada conta. Tokens temporários para ações de liberação e bloqueio. Restrição das operações aceitas pela integração. Validação dos identificadores dos recebimentos. Escape de todo conteúdo apresentado na interface. Comunicação HTTPS com validação SSL. Falha fechada quando não é possível determinar os domínios autorizados. Credenciais armazenadas de forma criptografada. Arquivos de configuração protegidos com permissões restritas. O objetivo é facilitar a administração da SPFBL sem comprometer a separação entre Admin, Reseller e User dentro do DirectAdmin. 2. Plugin SMTP Externo para DirectAdmin Também desenvolvi um plugin administrativo para configurar o envio de e-mails dos domínios por serviços SMTP externos diretamente pelo DirectAdmin. Aqui eu uso uma configuração especifica do EXIM para enviar de diferentes SMTP a depender da configuração do exim_smarthosts, exemplo: Quero que quando o domínioA.com.br enviar email ele saia pelo SMTP2GO, quando o domínioB.com.br enviar um email, ele saia pelo MAILBABY e era muito ruim gerenciar tudo isso via termina. O plugin manipula o arquivo nativo: /etc/exim_smarthostsEsse arquivo é a única fonte de dados utilizada. O plugin não cria banco de dados nem mantém uma listagem paralela. Principais funcionalidadesLista as rotas SMTP existentes no arquivo. Identifica rotas ativas e desativadas. Adiciona novas configurações. Edita domínio, usuário, senha, servidor SMTP e porta. Desativa uma rota adicionando # no início da linha. Reativa rotas anteriormente desativadas. Exclui completamente uma entrada. Pesquisa por domínio, usuário ou servidor SMTP. Permite mostrar ou ocultar a senha cadastrada. Bloqueia duas rotas ativas para o mesmo domínio. Preserva comentários, linhas vazias, ordem original e linhas não reconhecidas. Reinicia automaticamente o Exim depois de uma alteração. Restaura o conteúdo anterior caso o Exim não consiga reiniciar. Servidores SMTP predefinidosO modal de cadastro possui atalhos que preenchem automaticamente o host e a porta: MailBaby — relay.mailbaby.net:587 SMTP2GO — mail.smtp2go.com:587 Postmark — smtp.postmarkapp.com:587 Outros servidores SMTP também podem ser informados manualmente. Nível de acesso O plugin está disponível exclusivamente no Admin Level. Ele não é disponibilizado para Reseller ou User, pois precisa: Ler e gravar arquivos dentro de /etc. Preservar as permissões e o proprietário do arquivo. Reiniciar o serviço do Exim. Executar com privilégios administrativos. Segurança e consistênciaTodos os campos são validados no backend. Domínios, hosts, portas e demais valores passam por validação antes da gravação. A gravação é feita atomicamente para reduzir o risco de corromper o arquivo. Existe proteção contra alterações concorrentes. Uma operação é recusada caso o arquivo tenha mudado desde que a tela foi carregada. Não são permitidas duas rotas ativas para o mesmo domínio. Em caso de falha no restart do Exim, o plugin tenta restaurar o arquivo anterior. O plugin permanece indisponível quando /etc/exim_smarthosts não existe. O objetivo é tornar a administração de smarthosts mais simples e segura, sem precisar editar manualmente o arquivo pelo terminal. Caso vocês tenham interesse em qualquer um dos plugins, por favor falar comigo no WhatsApp, para ajudar a custear os tokens hahaha. https://wa.me/5584996463822

Fala, pessoal! Tudo certo? Liberamos hoje em São Paulo uma máquina dedicada de altíssima performance com ativação imediata após a confirmação. Se você precisa de baixa latência para o público nacional, muita potência de processamento single-thread/multi-thread e a segurança da rede Cloudflare, essa opção é ideal. Especificações do ServidorProcessador: AMD Ryzen 9 7950X (16 cores / 32 threads, até 5.7 GHz) Memória RAM: 128 GB DDR5 Armazenamento: 2x 1 TB NVMe Localização: Cirion - SP Rede: Proteção e mitigação inclusas com tráfego roteado via Cloudflare Magic Transit com customização de filtros por IPv4 Ativação: Imediata após o pagamento Só me chamar e ativo ainda hoje pra você. Sem contrato! https://wa.me/553140427655

Boa Noite Vinicius, podemos negociar, segue meu contato whatsapp 47 - 999371637 joinvix.com.br

Vinícius, Acabei de enviar mensagem para você no privado. Obrigado, Bruno.

Boa tarde Vinicius. Enviei uma mensagem para você. Atenciosamente, DDR Host