PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Angriff auf diverse Tracker


Lex
21.10.2011, 01:05
Abend,

Wie ich gerade erfahren habe sind seit 2 Tagen wiedermal Script Kiddys unterwechs und machen eine Bonker Source nach der anderen
platt. Durch welchen Fehler in der Source sich der/die den Zugriff verschafft haben ist bis Dato noch unbekannt, es wird jedoch vermutet das es über den pichoster.php und/oder bitbucket.php. Scheinbar haben da wiedermal Kinder zu viel Freizeit und Langeweile.

Ein Tracker der dem Angriff stand halten konnte hat gemeldet das der Angriff durch diese 2 Hacks von Zero abgewehrt werden konnten.

Zugriffsschutz für Nv Files by Zero111 (http://www.netvision-technik.de/forum/showthread.php?t=3697) inkl dem Update dazu => Update des Zugriffsschutzes by Zero111 (http://www.netvision-technik.de/forum/showthread.php?t=5145)

Ich kann nur allen Betreibern von BonkerSourcen dazu raten diese Fixes so rasch als möglich zu verbauen um erneuten Angriffen zu entgehen.
Logs und Informationen zu diesen Angriffen können mir gerne per Privatnachrich geschickt werden, ich werde mir das mit anderen
Codern ansehen, evtl können wir einen Spezifischen Hack zum Fix dieses Fehlers bereitstellen.

Lg Lex

Thunder™
21.10.2011, 01:15
bei den meisten trackern kommt man immer noch über die database.php an die daten,
meist ist es auch so das bei solchen trackern phpmyadmin zu finden ist und das die tracker auf root
laufen...da lässt sich in weniger als 2 min die db klauen und den tracker nach wünschen anpassen...

daher auch nach dem Fix für die database.php schauen...;)
Es müsste hier einer sein von GH wenn ich mich recht entsinne..

Zero111
21.10.2011, 01:25
Desweiteren sollten Überprüft werden ob man den database.php Bugfix installiert hat:

[Fix] Database.php absichern (http://www.netvision-technik.de/forum/showthread.php?t=6180)

sowie

Image BBCode Parser (http://www.netvision-technik.de/forum/showthread.php?t=6277)

der verhindert dass PHP Dateien durch den IMG BBCode geladen werden können (Damit kann man auch sehr viel schabernack betreiben)

Stifler
21.10.2011, 03:46
Ist das ein Fehler der falschen Zugriffs Befugnis einstellung?

Ich meine wie kommt man bitte an die database.php? Ich meine zum downloaden!
Ich sag immer auch wenns weh tut, bilder und dateien immer via db laufen lassen und dann via id aufrufen! pic=blabla.jpg ist Mist!

Asterix
21.10.2011, 05:34
guten morgen zur eurer info ( wahrscheinlich wißt ihr das schon )
als Teamnachricht versendet wurde dieser TEXT weitergegeben.

lücken der bonker source gefunden betrifft alle bonker source
also 1.reg zu 2.bilder pickhoster und filestorrents auf 0000 rechte setzten keine files uppen lassen
der jenige kommt mit avatar.php rein
ip´s: 109.47.255.255----94.222.189.69-----46.59.172.12
betrifft die hack angriffe der letzten woche

Junior
21.10.2011, 05:50
jipp , da sind solche leute die den sprung der integration der menschheit verpasst haben und dadurch in ihrer eigenen welt leben...
aber die IP´s wurden schon getracert und einige sachen sind schon offen und wir wissen welches kiddi dass ist !...
So ein milchbubi bestimmt zu viel freizeit...

Lex
21.10.2011, 07:11
guten morgen zur eurer info ( wahrscheinlich wißt ihr das schon )
als Teamnachricht versendet wurde dieser TEXT weitergegeben.

lücken der bonker source gefunden betrifft alle bonker source
also 1.reg zu 2.bilder pickhoster und filestorrents auf 0000 rechte setzten keine files uppen lassen
der jenige kommt mit avatar.php rein
ip´s: 109.47.255.255----94.222.189.69-----46.59.172.12
betrifft die hack angriffe der letzten woche

nur das es keine avatar.php gibt....

Lg Lex

Asterix
21.10.2011, 08:29
nur das es keine avatar.php gibt....

Lg Lex

richtig mf , ich habe nur die TXT nachricht gepostet, wegen der ( ip`s ) , leider habe ich (noch) nicht die erfahrung wie man damit umgehen soll, ich hoffe dennoch daß ihr mit den infos was anfangen könnt, wenn nicht ----> Papierkorb :)

Junior
21.10.2011, 09:16
hi,

erstmal vielen dank an lex der uns heute nacht sehr geholfen hat......

ich bin DareDevil und einer der gründer von Mucki Reloaded.

hab die ganze nacht am rehner verbracht und hab ips und email adressen mit vielen andern mir bekannten trackern und besitzern verglichen.

den hackern is da ein großer fehler unterlaufen weil auf einem tracker haben sie sich mit richtiger email angemeldet.

somit hab ich jetzt ts daten facebook acounts und den tracker den sie eröffnet haben am 18.10.2011.

wer infos haben möchte kann sich gerne heute ab 16 uhe bei uns im ts melden und an die geschädigten tracker dan die infos weitergeben.

hier werd ich das nicht veröffentlichen um keinen ärger zu bekommen.

es sind aber zu einner millionen % die jungs die uns und auch zich andere tracker durch diese sicherheitslücke down gesetzt haben.

screenshots ips + emails ist alles vorhanden.

mfg
DareDevil mit dem acount von meinem sohn Junior

BonkeR
21.10.2011, 10:12
Ich habe immer gesagt das se absichern sollen wers net macht ist selbst schuld !

Woodstock
21.10.2011, 10:22
Sorry Leute, aber wer Tracker fährt und nicht willens oder in der Lage ist sich auf den einschlägigen Boards über (bereits seit längerem bekannte) Sicherheitslücken zu informieren, hat nichts Besseres verdient. Da sollte man den Scriptkiddies eher noch dankbar sein, denn auf solchen Trackern wird mit der Sicherheit fahrlässig umgegangen.

phenom
21.10.2011, 11:04
Ich habe immer gesagt das se absichern sollen wers net macht ist selbst schuld !

Naja Bonker, bezieht sich ja nur auf Deine Sourcen.

So back to topic

Wir haben weder eine database.php noch eine avatar.php.

Wir haben phpmyadmin per htaccess gesichert.Ferner auch per apache einen alias Namen verpasst.

Haben modevasive, fail2ban u.s.w installiert.

Nutzte aber alles nix.( Frage mich eigendlich warum das nicht gegriffen hat )

Oben steht, das die über bitbucket oder pichoster reinkamen.Wie soll man die mit check_access(UC_XXX); absichern?

Können die User dann noch in ihrem bitbucket bzw. Pichoster Bilder hochladen?

Fragen über Fragen.

Hoffe jemand kann die Fragen beantworten

gruss
phenom

ike
21.10.2011, 11:36
somit hab ich jetzt ts daten facebook acounts und den tracker den sie eröffnet haben am 18.10.2011.

wer infos haben möchte kann sich gerne heute ab 16 uhe bei uns im ts melden und an die geschädigten tracker dan die infos weitergeben.

Was für ein Schwachsinn! Weil du zu blöd bist deinen Tracker abzusichern gibst du jetzt Daten von Usern weiter von denen du dir nichteinmal 100%tig sicher sein kannst das diese mit diesem "Hackangriff" etwas zu tun hatten.


Bonker nun die Schuld in die Schuhe zu schieben ist ja wohl auch unter aller Sau, er hat euch eine Source zur verfügung gestellt aber wohl nie gesagt das ihr euch diese blind auf die Server hauen sollt!

D@rk-€vil™
21.10.2011, 11:44
Was für ein Schwachsinn! Weil du zu blöd bist deinen Tracker abzusichern gibst du jetzt Daten von Usern weiter von denen du dir nichteinmal 100%tig sicher sein kannst das diese mit diesem "Hackangriff" etwas zu tun hatten.


Bonker nun die Schuld in die Schuhe zu schieben ist ja wohl auch unter aller Sau, er hat euch eine Source zur verfügung gestellt aber wohl nie gesagt das ihr euch diese blind auf die Server hauen sollt!

Da stimme ich vollkommen zu!

Und unter uns...eine Ip sagt noch lange nicht aus, dass dieser auch euern Blinki Blinki Bunti Bunti Tracker runtergefahren hat.

Ich sag nur....SELBST SCHULD!

:p

lg

BiGPoWeR
21.10.2011, 11:51
Ich muss sagen, mich hat dieser Thread beim lesen belustigt. :D
Irgendwie finde ich es gut, dass es Leute mit zuviel Freizeit gibt, aber diese gleich als Hacker abzustempeln? Haben nicht alle Tracker Besitzer, Teammitglieder, etc. zuviel Freizeit? ;)

Aber wer seinen Tracker/Server nicht absichern kann, hat meiner Meinung nach, nichts anderes verdient als geowned zu werden. Egal um was es sich für eine Webseite handelt. :)
Wird mal Zeit, dass einige Tracker verschwinden, gibt viel zu viele die alle gleich aussehen. :rolleyes:

Lex
21.10.2011, 12:33
Da stimme ich vollkommen zu!
hahaha das sagst grade DU, sehr Lustig, denn schaut man sich deine "Hacks" falls man es so schimpfen darf, hier im Board an, sind sie ALLE nur Blinki-Scheiße die du irgendwo geklaut hast.

Was für ein Schwachsinn! Weil du zu blöd bist deinen Tracker abzusichern gibst du jetzt Daten von Usern weiter von denen du dir nichteinmal 100%tig sicher sein kannst das diese mit diesem "Hackangriff" etwas zu tun hatten.

Solange er dies nicht über das Board hier tut, ist es uns egal, und dennoch hast du auf deine Wortwahl zu achten, dir hätte das genauso passieren können.


Bonker nun die Schuld in die Schuhe zu schieben ist ja wohl auch unter aller Sau, er hat euch eine Source zur verfügung gestellt aber wohl nie gesagt das ihr euch diese blind auf die Server hauen sollt!

Naja, er müsste inzwischen wissen das sich unzählige Leute auf seine Source werfen, also sollte man auch nichts veröffentlichen was so offensichtlich nicht sicher ist. Im allgemeinen Interesse.

Lg Lex

phenom
21.10.2011, 12:34
Loch wurde glaub ich gefunden.So ein spacken hat im pichoster eine avatar.php mit einem backdoor trojaner hochgeladen .wie kann man verhindern,das überhaupt phps mit dem pichoster oder bitbucket hochgeladen werden kann?

ike
21.10.2011, 12:44
Solange er dies nicht über das Board hier tut, ist es uns egal, und dennoch hast du auf deine Wortwahl zu achten, dir hätte das genauso passieren können.


Das hat er sehr wohl -> NetVision-Technik - Einzelnen Beitrag anzeigen - Angriff auf diverse Tracker (http://www.netvision-technik.de/forum/showpost.php?p=72174&postcount=5)

Außerdem sollte das keine Beleidigung sein, sondern eher eine Feststellung. Ich nutze keine Bonker Source und baue auch nicht blind jeden Mist ein der veröffentlicht wird.

Zero111
21.10.2011, 12:56
Loch wurde glaub ich gefunden.So ein spacken hat im pichoster eine avatar.php mit einem backdoor trojaner hochgeladen .wie kann man verhindern,das überhaupt phps mit dem pichoster oder bitbucket hochgeladen werden kann?

ist das nicht seit jahren bereits in der bitbucket.php drin.. oder irre ich mich da


<?php
$validExtensions = array("jpg","jpeg","gif","png","bmp");

$filename = "xxx.php";

$path_parts = pathinfo($filename);
$ext = $path_parts['extension'];

if (!in_array($ext, $validExtensions))
{
die("Dateityp nicht erlaubt");
}

print "ok";
?>
kleines Codebeispiel um gewisse Extensionen auszuschließen

$validExtensions = array("jpg","jpeg","gif","png","bmp"); <-- Array mit allen erlaubten Extensionen

$path_parts = pathinfo($filename); <-- PHP interne Funktion um ein Dateinamen in seine bestandteile zu zerlegen
$ext = $path_parts['extension']; <-- Wir wollen nur die Extension

if (!in_array($ext, $validExtensions)) <-- Wenn Extension nicht im oben genannten Array ist wird true abgeliefert was zum Scriptabbruch führt

Ist doch nicht so schwer :D

D@rk-€vil™
21.10.2011, 13:28
hahaha das sagst grade DU, sehr Lustig, denn schaut man sich deine "Hacks" falls man es so schimpfen darf, hier im Board an, sind sie ALLE nur Blinki-Scheiße die du irgendwo geklaut hast.

Lg Lex

Ahja...das schreibt der richtige, der seine Source sein eigen nennt, was jedoch das phpbb Board ist.

Alles klar ...........

Und das zum Thema Mod...no comment

:D:D:D:D:D

Stifler
21.10.2011, 13:51
Kleine Anregung wie ich dass mit erlaubten Files mache, läuft übrigens über den Mimetype!

CREATE TABLE IF NOT EXISTS `mime_types` (
`id` int(11) NOT NULL auto_increment,
`mimetype` varchar(255) NOT NULL default '',
`name` varchar(255) NOT NULL default '',
`modul` enum('gallery','downloads','usergallery','mailcenter','homepage','forum','contest','document','store','video','screenshot') default NULL,
`tool` enum('mediaplayer','quicktime','realplayer','flash','divx') default NULL,
`image` varchar(20) NOT NULL default '',
PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=latin1 AUTO_INCREMENT=95 ;

INSERT INTO `mime_types` (`id`, `mimetype`, `name`, `modul`, `tool`, `image`) VALUES
(90, 'image/gif', 'GIF-Dateien', 'screenshot', '', 'gif'),
(91, 'image/jpeg', 'JPEG-Dateien', 'screenshot', '', 'jpg'),
(92, 'image/pjpeg', 'JPEG-Dateien', 'screenshot', '', 'jpg'),
(93, 'image/x-png', 'PNG-Dateien', 'screenshot', '', 'png');

Beispiel bei screenshots upload
foreach($_FILES as $key => $value) {

$file = $value['name'];
$temp = $value['tmp_name'];
$size = $value['size'];
$type = $value['type'];
$error = $value['error'];

if(!$error) {

if(substr($key,0,strlen("file_")) == "file_" && substr($type,0,strlen("image")) == "image") {

$maxsize = $screenshot_img_size*1024;

$file_ending = explode(".",$file);
$file_ending[1] = strtolower(end($file_ending));

$mime_types = mysql_query("SELECT * FROM mime_types WHERE modul='screenshot' AND mimetype='$type'");
$row_mt = mysql_num_rows($mime_types);

if($row_mt == "0") {
print tplprint(tplload("templates/error/error31.html"),array(
"COMMUNITY_NAME" => $community_name,
"ADSERVER" => adserver("tracker"),
"NICK" => $nick,
"MENU" => navigation(),
"LOGO" => logo(),
"INFO" => info()));
exit();
}
elseif(($mode < 2 && $size > $maxsize) || $size == "0") {
print tplprint(tplload("templates/error/error32.html"),array(
"COMMUNITY_NAME" => $community_name,
"ADSERVER" => adserver("tracker"),
"NICK" => $nick,
"MAXSIZE" => $screenshot_img_size,
"MENU" => navigation(),
"LOGO" => logo(),
"INFO" => info()));
exit();
}

$query_filename = mysql_query("SELECT * FROM screenshots WHERE modul='tracker' ORDER BY 'id' DESC");
$result_filename = mysql_fetch_array($query_filename);

$file_ending_2 = explode(".",$result_filename[filename]);
$file_ending_2[1] = strtolower($file_ending_2[1]);

$new_filename = $file_ending_2[0]+1;

$filename = $new_filename.".".$file_ending[1];

CreateImage($screenshot_img_width,$screenshot_img_height,$temp,"images/screenshots/tracker/thumbnails/".$filename,$border=0);
CreateImage($screenshot_img_width2,$screenshot_img_height2,$temp,"images/screenshots/tracker/".$filename,$border=0);

mysql_query("INSERT INTO screenshots (id,id_2,owner,filename,realname,modul) VALUES('','$id','$nick','$filename','$file','tracker')");

$k++;

}

}

}


Anzeige von "Welche MimeTypen sind erlaubt"

<?

$types = array(
// Application
'ai' => 'application/postscript',
'bcpio' => 'application/x-bcpio',
'bin' => 'application/octet-stream',
'ccad' => 'application/clariscad',
'cdf' => 'application/x-netcdf',
'class' => 'application/octet-stream',
'cpio' => 'application/x-cpio',
'cpt' => 'application/mac-compactpro',
'csh' => 'application/x-csh',
'dcr' => 'application/x-director',
'dir' => 'application/x-director',
'dms' => 'application/octet-stream',
'doc' => 'application/msword',
'drw' => 'application/drafting',
'dvi' => 'application/x-dvi',
'dwg' => 'application/acad',
'dxf' => 'application/dxf',
'dxr' => 'application/x-director',
'eps' => 'application/postscript',
'exe' => 'application/octet-stream',
'ez' => 'application/andrew-inset',
'gtar' => 'application/x-gtar',
'gz' => array('application/x-gzip','application/gzip-compressed'),
'hdf' => 'application/x-hdf',
'hqx' => 'application/mac-binhex40',
'ips' => 'application/x-ipscript',
'ipx' => 'application/x-ipix',
'js' => 'application/x-javascript',
'latex' => 'application/x-latex',
'lha' => 'application/octet-stream',
'lsp' => 'application/x-lisp',
'lzh' => 'application/octet-stream',
'man' => 'application/x-troff-man',
'me' => 'application/x-troff-me',
'mif' => 'application/vnd.mif',
'ms' => 'application/x-troff-ms',
'nc' => 'application/x-netcdf',
'oda' => 'application/oda',
'pdf' => 'application/pdf',
'pgn' => 'application/x-chess-pgn',
'pot' => 'application/mspowerpoint',
'pps' => 'application/mspowerpoint',
'ppt' => 'application/mspowerpoint',
'ppz' => 'application/mspowerpoint',
'pre' => 'application/x-freelance',
'prt' => 'application/pro_eng',
'ps' => 'application/postscript',
'rar' => 'application/x-rar-compressed',
'roff' => 'application/x-troff',
'scm' => 'application/x-lotusscreencam',
'set' => 'application/set',
'sh' => 'application/x-sh',
'shar' => 'application/x-shar',
'sit' => 'application/x-stuffit',
'skd' => 'application/x-koan',
'skm' => 'application/x-koan',
'skp' => 'application/x-koan',
'skt' => 'application/x-koan',
'smi' => 'application/smil',
'smil' => 'application/smil',
'sol' => 'application/solids',
'spl' => 'application/x-futuresplash',
'src' => 'application/x-wais-source',
'step' => 'application/STEP',
'stl' => 'application/SLA',
'stp' => 'application/STEP',
'sv4cpio' => 'application/x-sv4cpio',
'sv4crc' => 'application/x-sv4crc',
'swf' => 'application/x-shockwave-flash',
't' => 'application/x-troff',
'tar' => 'application/x-tar',
'tcl' => 'application/x-tcl',
'tex' => 'application/x-tex',
'texi' => 'application/x-texinfo',
'texinfo' => 'application/x-texinfo',
'tr' => 'application/x-troff',
'tsp' => 'application/dsptype',
'unv' => 'application/i-deas',
'ustar' => 'application/x-ustar',
'vcd' => 'application/x-cdlink',
'vda' => 'application/vda',
'xlc' => array('application/vnd.ms-excel', 'application/msexcel'),
'xll' => array('application/vnd.ms-excel', 'application/msexcel'),
'xlm' => array('application/vnd.ms-excel', 'application/msexcel'),
'xls' => array('application/vnd.ms-excel', 'application/msexcel'),
'xlw' => array('application/vnd.ms-excel', 'application/msexcel'),
'zip' => array('application/zip', 'application/x-zip-compressed'),
// Audio
'aif' => 'audio/x-aiff',
'aifc' => 'audio/x-aiff',
'aiff' => 'audio/x-aiff',
'au' => 'audio/basic',
'kar' => array('audio/midi','audio/x-midi'),
'mid' => array('audio/midi','audio/x-midi'),
'midi' => array('audio/midi','audio/x-midi'),
'mp2' => 'audio/mpeg',
'mp3' => 'audio/mpeg',
'mpga' => 'audio/mpeg',
'ra' => 'audio/x-realaudio',
'ram' => 'audio/x-pn-realaudio',
'rm' => 'audio/x-pn-realaudio',
'rpm' => 'audio/x-pn-realaudio-plugin',
'snd' => 'audio/basic',
'tsi' => 'audio/TSP-audio',
'wav' => 'audio/x-wav',
// Text
'asc' => 'text/plain',
'c' => 'text/plain',
'cc' => 'text/plain',
'css' => 'text/css',
'etx' => 'text/x-setext',
'f' => 'text/plain',
'f90' => 'text/plain',
'h' => 'text/plain',
'hh' => 'text/plain',
'htm' => 'text/html',
'html' => 'text/html',
'js' => 'text/javascript',
'm' => 'text/plain',
'rtf' => 'text/rtf',
'rtx' => 'text/richtext',
'sgm' => 'text/sgml',
'sgml' => 'text/sgml',
'tsv' => 'text/tab-separated-values',
'tpl' => 'text/template',
'txt' => 'text/plain',
'xml' => 'text/xml',
// Video
'avi' => array('video/x-msvideo', 'video/avi'),
'asf' => 'video/x-ms-asf',
'divx' => 'video/divx',
'fli' => 'video/x-fli',
'mkv' => 'video/divx',
'mov' => 'video/quicktime',
'movie' => 'video/x-sgi-movie',
'mpe' => 'video/mpeg',
'mpeg' => 'video/mpeg',
'mpg' => 'video/mpeg',
'qt' => 'video/quicktime',
'viv' => 'video/vnd.vivo',
'vivo' => 'video/vnd.vivo',
'wmv' => 'video/x-ms-wmv',
// Image
'gif' => 'image/gif',
'ief' => 'image/ief',
'jpe' => array('image/jpeg', 'image/pjpeg'),
'jpeg' => array('image/jpeg', 'image/pjpeg'),
'jpg' => array('image/jpeg', 'image/pjpeg'),
'pbm' => 'image/x-portable-bitmap',
'pgm' => 'image/x-portable-graymap',
'png' => array('image/png', 'image/x-png'),
'pnm' => 'image/x-portable-anymap',
'ppm' => 'image/x-portable-pixmap',
'ras' => 'image/cmu-raster',
'rgb' => 'image/x-rgb',
'tif' => 'image/tiff',
'tiff' => 'image/tiff',
'xbm' => 'image/x-xbitmap',
'xpm' => 'image/x-xpixmap',
'xwd' => 'image/x-xwindowdump',
// X-Conference
'ice' => 'x-conference/x-cooltalk',
// Model
'iges' => 'model/iges',
'igs' => 'model/iges',
'mesh' => 'model/mesh',
'msh' => 'model/mesh',
'silo' => 'model/mesh',
'vrml' => 'model/vrml',
'wrl' => 'model/vrml',
// WWW
'mime' => 'www/mime',
// Chemical
'pdb' => 'chemical/x-pdb',
'xyz' => 'chemical/x-pdb');

$modul = $_GET[request];

$mime_types = mysql_query("SELECT * FROM mime_types WHERE modul='$modul' ORDER BY 'mimetype' ASC");

while($result = mysql_fetch_array($mime_types)) {
unset($extensions);

$mimetype = $result[mimetype];
$name = $result[name];

foreach($types as $key => $value) {

if(is_array($value) && in_array($mimetype,$value)) $extensions[] = "*.".$key;
if(!is_array($value) && $mimetype == $value) $extensions[] = "*.".$key;

}

if(count($extensions) > 0) sort($extensions);

$output .= "<tr bgcolor=\"#FAFAFA\" valign=\"top\"><td>$mimetype</td><td>".@implode(" ", $extensions)."</td><td>$name</td></tr>";

}

print tplprint(tplload("templates/mimetypes.html",FALSE),array(
"COMMUNITY_NAME" => $community_name,
"OUTPUT" => $output));
exit();

?>

Castor
21.10.2011, 13:59
Der Upload von .css, .php, .js etc. klappt bei uns nicht via Bitbucket/PicHoster.
Also muss es ne andere lücke geben.

Der Vogel war noch so frech das ganze in der Shout anzukündigen :confuse:

LG Castor

Stifler
21.10.2011, 14:07
Weiß ja nicht wie der BitBucket und Filehoster oder was auch immer funktioniert aber wenn dass mit file=filename oder pic=bild.jpg geht und keine ordentlichen Vorkehrungen getroffen sind dass man sich net mit file=../../ rumbewegen kann dann ist das des Rätsels lösung

Ein Ansatz wäre bei bei den Bildern bei der Ausgabe mal mit

$is_image = @getImageSize($picture);

if(!$is_image) {

exit;

}

zu checken ob es sich tatsächlich um ein Bild handelt.
Damit kann er sich zwar in den Verzeichnissen bewegen bekommt aber nur Bilder ausgegeben!

ike
21.10.2011, 14:17
Was hat er denn überhaupt für Schaden angerichtet?

Zero111
21.10.2011, 14:34
Noch eine ziemlich sichere Methode ist


$file = basename($_GET['file']);

$content = file_get_contents("database/".$file);
basename schneidet alles vor dem dateinamen ab

also aus /../../../xxx.php wird xxx.php :D so kann man eine deartige lücken nicht mehr ausnutzen

Junior
21.10.2011, 15:33
hi,

ich ( DareDevil ) will hier keinen krieg vom zaum brechen aber beleidigen lassen muss ich mich auch nich ...... aber es gibt ein paar sachen da bin ich echt zu alt für und leute die meine kinder sein könnten auf dessen sprüche seh ich einfach drüber weg.

es ist absolut sicher ich hab diejenigen gefunden die die angriffe auf die tracker gestartet haben.

mittlerweile haben die auch schon wind davon bekommen und ihre reg geschlossen das ist aber kein problem die fühlen sich sicher ..... ok ich lass sie bis heute abend in dem glauben.

desweiteren waren wir weiter auf der suche nach möglichen lücken ( das zu dem thema wir sind zu blöde ) aber man muss lücken ersmal erkennen bevor man sie stopen kann oder wollt ihr sagen das BKA und die Nasa sind auch zu blöde ??? die wurden auch schon gehackt aber das is en anderes thema. hab selber 12 jahre berufserfahrung in einer behörde und mus merken das man nie auslernt.

hab nun folgende frage schaut euch mal bei googel das hier an weiss jetzt nich ob links hier erlaubt sind deswegen nur die info hier :

Querelen um PHP-Suhosin-Patch

Die Sicherheitserweiterung Suhosin (http://www.hardened-php.net/suhosin/) für PHP führte auf manchen Systemen zu Abstürzen. Ein Patch der Debian-Maintainer beseitigte dieses Problem, öffnete aber ein potenzielles Sicherheitsloch. Jetzt tobt ein Streit darüber, wer da was falsch gemacht hat.

wäre dankbar wen ich eine info bekommen könnte ob wir da richtig mit liegen.

mfg
DD

Stinac
21.10.2011, 15:58
dieses thema ist sowas von sinnlos gib doch deine IPs weiter von den mutmasslichen hackern was bringt dir das wen du trotzdem nix absicherst wird er dich immer wieder platt machen eig. nur zum lachen

SP4C3
21.10.2011, 16:22
1. Die IPs sind stinknormale Dial-In Ips von Vodafone, Arcor und Wilhelm.tel.
Also sinds entweder drei Leute, oder die Ips sind reine zufallszahlen... Ändern sich eh bei ner NeuEinwahl, also warum son Aufriss über 3 32 Bit Zahlen machen??

2. phenom: Die Apachemodule können keine Lücken in deinen Webanwendungen korrigieren. Sie sind speziell gegen Dos und BruteForce angriffe...

3. Sorry aber wer blind ne Source verwendet, von der offensichtlich bekannt ist, dass sie löchrig wie ein Schweizer Käse ist, dann weis ich auch nix dazu zu sagen... Vor allem wenn der Ersteller selbst sagt "Findet die Lücken...".

4. Wer so naiv ist wie in drittens beschrieben: Schämt euch.

Mitnick
21.10.2011, 17:12
2. phenom: Die Apachemodule können keine Lücken in deinen Webanwendungen korrigieren. Sie sind speziell gegen Dos und BruteForce angriffe...



Das ist so nicht richtig. Installiert euch ModSecurity mit ordentlichen rulesets.
Ganz wichtig ist auch das euere Trackersoftware nicht mittels "root" auf die db zugreift.

Per ModSecurity könnt ihr eventuelle hackversuche schnell erkennen und gegebenenfalls abwehren.

Thunder™
21.10.2011, 17:33
vielleicht solltest ihr nicht spekulieren und mit ModSecurity spielen sondern euch mit den phps beschäftigen und diese fixen...

Lex
21.10.2011, 17:33
sehr richtig Thunder
/sign

Lg Lex

Mitnick
21.10.2011, 17:39
Stimmt schon @Thunder.

Aber ModSec bewahrt einen Tracker zumindest im gröbsten vor zweifelhaften übergaben bevor sie zur DB gelangen bwz. der Apache sie verarbeitet. Somit bleibt genügend Zeit sich seine phps abzusichern.

Thunder™
21.10.2011, 17:39
Die PHP´s...das wäre das erste was ich machen würde bevor ich weitere Maßnahmen treffe!
Alles andere ist reine Zeitverschwendung!

Mitnick
21.10.2011, 17:41
Das versteht sich von selbst. Aber man kann es denjenigen so schwer wie möglich machen. Und darum geht ja auch letztendlich.
Den Angreifer soviele steine in den weg zu legen in der Hoffnung das sein Wissen irgendwann nicht mehr ausreicht.

Thunder™
21.10.2011, 17:43
man kann auch einfach seine php´s fixen und denjenigen es unmöglich machen so ein mist hoch zu laden^^

Und solang nichts gefixt ist und die Gefahr besteht das der nächste kommt, sollte man den Tracker runter fahren!

Mitnick
21.10.2011, 17:45
Du glaubst doch nicht das nur wenn du deine php´s fixst dein Tracker sicher ist! Du müsstest eigentlich genau wie ich Wissen das viele Wege nach Rom führen. ;)

Thunder™
21.10.2011, 17:47
Ich sag auch nicht das es dann zu 100% sicher ist sondern das es der erste schritt ist anstatt hier dummes zeug zu posten und zu warten das ein anderer evt nen fix rein stellt^^

SP4C3
21.10.2011, 18:17
100% Sicherheit gibt es nicht. Aber man kann sich der 99,99 annähern :D
Das script selbst muss erstmal "sicher" sein. Dann müssen sämtliche an der auslieferung beteiligten Dienste auf dem aktuellen Stand sein. Sicherheitsupdates zu verschlafen ist ein no-go. Schlussendlich sollten für sicherheitskritische Seiten nur die php Funktionen aktiviert sein die wirklich benötigt werden...

Waiti
22.10.2011, 19:47
so dann will ich auch mal mein senf zu den thema beitragen.

was war die bonker source doch gleich? richtig eine nv source und was predigt ihr immer...nemmt ne orginal nv und baut euch die um.
soweit so gut, aber ....wen ich mir die orginal nv umbaue und dafür die sachen von hier da einbaue weiss ich zwar was drin ist, aber noch lange nicht ob es das alles ist was ich benötige.

ich sag mal so, das problem bei der bonker ist doch das sie jeder hat weil bonker sie freigegeben hat und jeder sich das ding zurecht gebastelt hat nach seinen bedürfnissen.

wobei die von bonker immer noch besser als die orginal nv ist, wo ich meine daten gleich als txt datei auf dem desktop zum download verlinken kann.

ich gebe euch auch recht wen ihr sagt selber schuld müsst ihr halt besser absichern...... jetzt kommt das aber wieder :-)

1) keiner weiss 100% was er macht, weil jeder macht es anders
2) wen ich was einbaue bin ich mir immer sicher das es richtig ist, nur wie man sieht gibt es immer wieder ein hintertürchen oder einen der es besser kann
3) wen dieses board nicht wäre (und auch andere) würde es noch viel mehr schwachstellen geben und auch der beste coder wird sie nur finden wen sowas wie jetzt wieder passiert, denn nur so kann man fehler aufdecken und beseitigen

so wie ich das seh wen ich mir das board so anschaue, gab und wird es sowas immer wieder geben was ja schon die ganzen mod hier im board beweisen und das beste von allen.....

alle die jetzt schrein selber schuld haste pech gehabt musste halt besser coden....die haben bei den andern hacks die schon aufgedeckt wurden selber zum teil in der liste gestanden die betroffen waren.


denkt mal drüber nach wen ihr wieder schreit selber schuld könnte mir nicht passieren, auch ihr könnt euch nicht 100% sicher sein.

lg waiti

p.s.

ist nicht böse gemeint aber ich kann es einfach nicht mehr hören wen alle gleich schrein ..typisch wieder ne bonker.. wen ihr eure so weiter geben würdet wie bonker, würde es nicht anders aussehen den da sind bestimmt auch noch einige macken drin ;-)

tantetoni2
22.10.2011, 20:01
doch ich weiß zu 100% was ich mache, du musst profis von hobby bastlern unterscheiden.

jeder halbwegs profesionelle programmierer was hier wirklich nur ne hand voll ist, sollte davon ahnung haben und tut auch vieles um bekannte sichheits relevate themen wie xss oder sql incetions weitgehens zu unterbinden

Stifler
22.10.2011, 20:09
Perl Dateien??
Habt ihr alle Perl mit DBI installiert?

Lex
22.10.2011, 20:34
Danke an Angelice (http://www.netvision-technik.de/forum/member.php?u=925) für den Report, ich habe mir erlaubt den Post in einen anderen Bereich zu verschieben wo es sich eine Hand von Codern ansehen wird.
Dadurch möchte ich verhindern das Scriptkiddys die Angriffsmethode lesen und versuchen erneut durchzuführen.

Wie gesagt werden wir, falls notwendig einen Hack präsentieren sobald wir den Hack analysiert haben.

Lg Lex

Zero111
23.10.2011, 14:13
Wir konnten dank einige Hinweise seitens der User feststellen wo und wie die Angreifer ins System gekommen sind

Dafür sag ich mal danke an die betreffenden User.

Die Schwachstelle liegt am Bitbucket V2.0 ( Bitbucket 2.0 (http://www.netvision-technik.de/forum/showthread.php?t=2428) )

und bei beiden Untersuchten Pichostern :
Tracker Interner Pichoster by Dontcha (http://www.netvision-technik.de/forum/showthread.php?t=2090)
Pichoster V3 Final by D@rk-€vil™ (http://www.netvision-technik.de/forum/showthread.php?t=3670)

Wer diese Hacks installiert hat sollten unbedingt den Entsprechenden Bugfix installieren:

Fix: Bitbucket (http://www.netvision-technik.de/forum/showthread.php?t=6514)
Fix: Pichoster (http://www.netvision-technik.de/forum/showthread.php?t=6515)

Wollen wir hoffen dass das Trackersterben vorerst wieder ein Ende hat