Antworten: 30
|
|
 xsigndllTry to beat me Beiträge: 124 |
# Thema - 17.09.2008 um 09:22 Uhr
Hallöle, ich bin gerade mal wieder im Land der langen Weile (vorallem nach einer durchlernten Perl Nacht) und ich dacht mir mal ich präsentier euch mal nen supi Exploit. Zeitaufwand: ca. 20-30min Typ: XSS Erwartetes Resultat: Passwort als Klartext  Voraussetzungen: User/Pass Kombination muss im Browser gespeichert sein Getestet: FF 3.0.1 *ZENSIERT* Natürlich ist das auch für alle anderen schönen XSS Exploits zu gebrauchen, wie z.B. Iframes mit JS Keylogger etc. Liebe Grüße, xsign http://www.xsigndll.de ------------------ x!sign.dll - Full-Stack with a touch of DevOps --- Facebook - x!sign.dll Twitter - x!sign.dll Instagram - x!sign.dll Pinterest - x!sign.dll LinkedIn - x!sign.dll Tumblr - x!sign.dll Flickr - x!sign.dll Reddit - x!sign.dll Zuletzt editiert von fAY-pA!N am 17.09.2008 um 09:41 Uhr (2x Editiert)
|
Inaktiv |
 |
| borchi Geekboy Herkunft: Berlin Beiträge: 1231 |
# Antwort: 1 - 17.09.2008 um 09:46 Uhr
Warum veröffentlichst du sie und schickst sowas nicht direkt an die Entwickler, damit die eine Chance haben, das zu beheben? Nun haben hunderte von Kiddies deinen Code und werden damit Clansphere-Seiten anzugreifen versuchen. Und ob jeder sein System auf den laufenden hält ist auch fraglich. Nichts gegen deine Arbeit, ist sicher wichtig, solche Sicherheitslücken zu finden. Aber sie hier und auf deiner Homepage zu veröffentlichen - ohne den Entwicklern eine Chance zu geben die Lücke zu stopfen - finde ich ehm - seltsam. ------------------ 
|
Inaktiv |
 |  |
 fay-painSpecialist Beiträge: 2006 |
# Antwort: 2 - 17.09.2008 um 09:48 Uhr
Richtig Borchi. Nicht die feine Art...ist intern jetzt bekannt und wird sofort geklärt. ------------------ Manchmal hast du fay und machmal pain. - hajo |
Inaktiv |
| |
| xsigndll Thread-Ersteller Try to beat me Beiträge: 124 |
# Antwort: 3 - 17.09.2008 um 09:49 Uhr
Nungut. Die Bugs sind altbekannt. Ich hab schon vor nem halben Jahr auf XSS aufmerksam gemacht. Mehrfach. Man kann ja wohl erwarten, dass eingehende Daten über nen HTML Filter laufen, oder etwa nicht? Jetzt mal ganz im Ernst. Freezeman hostet solche Systeme gegen Bezahlung. Kann man da nicht ein gewisses Mindestmaß an Sicherheit einfordern? ------------------ x!sign.dll - Full-Stack with a touch of DevOps --- Facebook - x!sign.dll Twitter - x!sign.dll Instagram - x!sign.dll Pinterest - x!sign.dll LinkedIn - x!sign.dll Tumblr - x!sign.dll Flickr - x!sign.dll Reddit - x!sign.dll Zuletzt editiert von xsign am 17.09.2008 um 09:55 Uhr (1x Editiert) |
Inaktiv |
| |
 NachtmeisterSpecialist  Herkunft: Bern Beiträge: 2091 |
# Antwort: 4 - 17.09.2008 um 09:55 Uhr
Man kann ja wohl erwarten, dass eingehende Daten über nen HTML Filter laufen, oder etwa nicht? Man kann ja wohl erwarten, dass solche Sicherheitslücken nicht gleich ans schwarze Brett gehängt werden sondern ohne weiteres an die Entwickler weitergeleitet werden? Es ist ja eine nett gemeinte Geste von dir, Fehler mitzuteilen, aber an der Umsetzung happert es ja wohl. ------------------ "God created the universe in 1 Day, and then spent 5 days making it look good In Internet Explorer" |
Inaktiv |
 | |
| xsigndll Thread-Ersteller Try to beat me Beiträge: 124 |
# Antwort: 5 - 17.09.2008 um 10:04 Uhr
Hey - ich hab euch damals konkrete Sachverhalte genannt, die ihr in den Griff bekommen müsst. Unter anderem, dass man Modulfiles nicht direkt aufrufen können darf! Da kam nur ein lässiges "wieso denn? ist doch egal...". Mir persönlich ist es wirklich egal, ich bin kein Pole, der solche Exploits verkauft. Ich poste Sie hier, in der Hoffnung, dass ihr endlich mal lernt, wie man relativ weit verbreitete Projekte absichert. Es ist in meinen Augen fahrlässig, solche wirklich einfachen Lücken der Masse zu präsentieren. ------------------ x!sign.dll - Full-Stack with a touch of DevOps --- Facebook - x!sign.dll Twitter - x!sign.dll Instagram - x!sign.dll Pinterest - x!sign.dll LinkedIn - x!sign.dll Tumblr - x!sign.dll Flickr - x!sign.dll Reddit - x!sign.dll |
Inaktiv |
| |
| Nachtmeister Specialist Herkunft: Bern Beiträge: 2091 |
# Antwort: 6 - 17.09.2008 um 10:22 Uhr
Ich denke Fehler entstehen überall wo Menschen sind. Was damals war, weiss ich nicht. Trotzdem finde ich es daneben, solche gravierenden Fehler öffentlich zu posten. Ich sage deinen Nachbarn auch nicht, wo du deinen Schlüssel versteckt hast. Warum auch? Es gäbe keinen grund dazu ausser aus bösem Willen. Deswegen ist dein Post recht fragwürdig. Ich vertrette damit meine eigene Meinung. Ich rede damit nicht für's CSP Team, nur das hier nicht irgendwelche Missverständnisse aufkommen. ------------------ "God created the universe in 1 Day, and then spent 5 days making it look good In Internet Explorer" |
Inaktiv |
| |
UnKn0wn  Geekboy  Beiträge: 1160 |
# Antwort: 7 - 17.09.2008 um 10:34 Uhr
Es werden im Internet aber immer Exploits direkt veröffentlicht. So können die Anbieter wenigstens schnell reagieren siehe milworm. Warum soll der Betreiber einer Webseite in Sicherheit gewogen werden und nicht darauf aufmerksam gemacht werden. Jeder denkt seine Webseite ist sicher und nachher ist das nicht der Fall. Persönlich möchte ich lieber informiert sein, ob Sicherheitslücken bestehen. ------------------ Mit freundlichen Grüßen SEBEL-DESIGN http://www.sebel-design.com |
Inaktiv |
| |
| Nachtmeister Specialist Herkunft: Bern Beiträge: 2091 |
# Antwort: 8 - 17.09.2008 um 10:45 Uhr
Jeder denkt seine Webseite ist sicher und nachher ist das nicht der Fall. Persönlich möchte ich lieber informiert sein, ob Sicherheitslücken bestehen. In dem man allen deinen Usern ein Tutorial schreibt, wie sie deine Seite hacken können? verstehe... ------------------ "God created the universe in 1 Day, and then spent 5 days making it look good In Internet Explorer" |
Inaktiv |
| |
| borchi Geekboy Herkunft: Berlin Beiträge: 1231 |
# Antwort: 9 - 17.09.2008 um 10:47 Uhr
Naja, meiner Meinung nach ist das aber ein zweischneidiges Schwert. Klar, ich weiß durch solche Veröffentlichung, dass es eine Schwachstelle gibt. Dagegen schützen kann ich mich aber erstmal nicht, solange die Entwickler nicht reagieren. Andererseits weiß ein Angreifer aber durch die Veröffentlichung eines Exploits, wie er eine Sicherheitslücke ausnutzen kann. Er bekommt ja die Anleitung frei Haus. Und da ich als User mich nicht wehren kann, außer ich benutze das entsprechende Programm nicht mehr, bin ich im Nachteil und einem Angriff schutzlos ausgesetzt, solange die Software nicht gefixt ist. ------------------
|
Inaktiv |
| |
| UnKn0wn Geekboy Beiträge: 1160 |
# Antwort: 10 - 17.09.2008 um 11:03 Uhr
Ist halt nun die Fragen wie schwer ist das seitens Clansphere zu fixen? ------------------ Mit freundlichen Grüßen SEBEL-DESIGN http://www.sebel-design.com |
Inaktiv |
| |
| Nachtmeister Specialist Herkunft: Bern Beiträge: 2091 |
# Antwort: 11 - 17.09.2008 um 11:16 Uhr
Nun weiss es auf jedenfall die ganze Welt dank xsign seinem ausführlichen Tutorial auf seiner Seite. ich weiss wirklich nicht was einen erwachsenen menschen dazu veranlasst, eine Anleitung zum Ausnutzen dieser Sicherheitslücke zu schreiben. Sehr unkompetent von dir. ------------------ "God created the universe in 1 Day, and then spent 5 days making it look good In Internet Explorer" |
Inaktiv |
| |
| Micha.09 Specialist Herkunft: Dortmund Beiträge: 2860 |
# Antwort: 12 - 17.09.2008 um 11:41 Uhr
Danke dir xsign, besser du fidnest die als jemand der schaden machen will! |
Inaktiv |
| |
| UnKn0wn Geekboy Beiträge: 1160 |
# Antwort: 13 - 17.09.2008 um 11:51 Uhr
Denke ich auch! Was schätzt du Alci wie schnell Ihr das beheben könnt? ------------------ Mit freundlichen Grüßen SEBEL-DESIGN http://www.sebel-design.com |
Inaktiv |
| |
| Micha.09 Specialist Herkunft: Dortmund Beiträge: 2860 |
# Antwort: 14 - 17.09.2008 um 12:03 Uhr
FIXED Die folgende Datei "getusers.php" in den ordner "mods/messages/" kopieren udn die alte Datei überschreiben. Es kann beim Download passieren, das die runtergeladene Datei nicht getusers.php heisst, in dem Fall nennt sie einfach um! Dateianhänge:
 getusers.php (1.3 KiB - 92 mal heruntergeladen ) |
Inaktiv |
| |
| xsigndll Thread-Ersteller Try to beat me Beiträge: 124 |
# Antwort: 15 - 17.09.2008 um 12:35 Uhr
17.09.2008 um 11:16 Uhr - Nachtmeister: Nun weiss es auf jedenfall die ganze Welt dank xsign seinem ausführlichen Tutorial auf seiner Seite. ich weiss wirklich nicht was einen erwachsenen menschen dazu veranlasst, eine Anleitung zum Ausnutzen dieser Sicherheitslücke zu schreiben. Sehr unkompetent von dir. Nur mal so - mein sogenanntes "Tutorial" wird in einschlägigen Fachbüchern komplett ausführlich behandelt. Mit Quellcode und allem drum und dran. Das ist nichts neues! (z.B. das mir vorliegende "Enterprise PHP5 - Serviceorientierte und webbasierte Anwendungen für den Unternehmenseinsatz" - HANSER) Wer z.B. regelmäßig heise.de ließt, der weiß, dass Exploits immer direkt gepostet werden. Selbst der DNS Bug, der das INet lahm legen könnte, wurde dort ausführlich erklärt um die Betreiber zu zwingen ihre Server upzudaten. Und von Milworm brauch man garnicht sprechen. Von Tutorial erst recht nicht, wenn ich den Exploit poste und dazu sage "bisschen $_GET suchen und JavaScript rumfummeln". Ich erinnere an dieser Stelle gerne an euer "Hack Video", in dem ein von euch engagierter Hacker diese Prozedere vor laufender Kamera durchgeführt hat. Der war in 5min durch den Source und hatte die Injections. Ich hätte genausogut nen fertigen Exploit mit Passsendung an nen ausländischen Server machen können... /edit: Ach und nochwas zum "öffentlichen" Posten. Das ist Hacker Kredo, denn in der Vergangenheit wurden viele Bugs eiskalt unter den Tisch gekehrt! Ich hätte auch den Exploit an die Developer schicken können, aber im changelog würde dann nur "fixed getusers.php" stehen, was der gravierenden Problematik nicht gerecht wird. Deshalb macht man solche Sachen auch öffentlich, um jeden zu informieren! ------------------ x!sign.dll - Full-Stack with a touch of DevOps --- Facebook - x!sign.dll Twitter - x!sign.dll Instagram - x!sign.dll Pinterest - x!sign.dll LinkedIn - x!sign.dll Tumblr - x!sign.dll Flickr - x!sign.dll Reddit - x!sign.dll Zuletzt editiert von xsign am 17.09.2008 um 12:43 Uhr (2x Editiert) |
Inaktiv |
| |
 duRiel Weltmeister  Herkunft: Cambridge Beiträge: 7300 |
# Antwort: 16 - 17.09.2008 um 16:32 Uhr
ich glaube, dass xsign das mit dem direkt zu uns schicken nie mehr lernen wird. xsign, du weißt genau, dass wir das nicht unter den tisch kehren und sehr wohl selbst über gefixte sicherheitslücken informieren. ansonsten danke, da ist wirklich was schief gegangen. hajo wollte die lücke in der datei mal schließen, hat aber nur einen teil durch cs_sql_escape gesichert, der andere blieb offen. alci hats gefixt. das mit der anleitung ist wirklich kein geheimnis sondern ne 0815 nummer aber dann muss man es denen die davon nichts wissen auch nicht näher bringen. |
Inaktiv |
| |
| Jam2 Highlander  Beiträge: 3291 |
# Antwort: 17 - 17.09.2008 um 16:56 Uhr
17.09.2008 um 16:32 Uhr - duRiel: ich glaube, dass xsign das mit dem direkt zu uns schicken nie mehr lernen wird. xsign, du weißt genau, dass wir das nicht unter den tisch kehren und sehr wohl selbst über gefixte sicherheitslücken informieren. ansonsten danke, da ist wirklich was schief gegangen. hajo wollte die lücke in der datei mal schließen, hat aber nur einen teil durch cs_sql_escape gesichert, der andere blieb offen. alci hats gefixt. #agree 1000% ------------------ Gruß/ Best regards Jam2 Nützliche Forumbeiträge/Codepastes: (Useful comments in our board / codepastes) Template Switch for index.php Board Navlist last posts Edi: könnte man denn auch hier eine erweiterung einfügen?
Jam2: das web ist wie toyota.....  Edi: hö ? Jam2: nichts ist unmöglich! |
Inaktiv |
| |
| TeQu!La Specialist  Herkunft: Grevenbroich Beiträge: 2142 |
# Antwort: 18 - 17.09.2008 um 17:19 Uhr
thx xsign ------------------  ClanSphere - professional clan care starts here |
Inaktiv |
| |
| duRiel Weltmeister Herkunft: Cambridge Beiträge: 7300 |
# Antwort: 19 - 17.09.2008 um 17:53 Uhr
http://www.clansphere.de/index/news/view/id/289 Zuletzt editiert von duRiel am 17.09.2008 um 17:54 Uhr (1x Editiert) |
Inaktiv |
| |
| xsigndll Thread-Ersteller Try to beat me Beiträge: 124 |
# Antwort: 20 - 17.09.2008 um 18:32 Uhr
ok - dann poste ich jetzt mal ohne echten Exploit: \mods\abcode\listimg.php [zensiert] Link klicken und mouse moven. Geht natürlich mit jedem anderen Event auch. thx für die news, wär aber natürlich nicht nötig gewesen. Das oben könnt ihr natürlich wieder zensieren - dient aber rein zum Verständnis, wie der Spaß immer funktioniert. Als Hinweis: Spaces wären im HTML nen %20, also nimmt man Tabs (%09). D.h. euch fehlt die Überprüfung auf Tabs. Und allgemein die überprüfung. ------------------ x!sign.dll - Full-Stack with a touch of DevOps --- Facebook - x!sign.dll Twitter - x!sign.dll Instagram - x!sign.dll Pinterest - x!sign.dll LinkedIn - x!sign.dll Tumblr - x!sign.dll Flickr - x!sign.dll Reddit - x!sign.dll Zuletzt editiert von duRiel am 17.09.2008 um 18:45 Uhr (1x Editiert) |
Inaktiv |
| |
 Dieses Thema wurde von pHaeno*  geschlossen. |
|
Antworten: 30
|
|
Latest 5 CodePaste
Demo
Probiere ClanSphere aus und teste daran herum. Demo
Spenden
ClanSphere ist freie OpenSource Software.
Bitte unterstützt uns.
Spenden
