Site gehackt. Was nun

QUOTE Das Loginprinzip ist meines erachtens nicht gerade leicht zu knacken
Das Paswort als Formularwert wird MD5 verschlüsselt und datenbankseitig mit dem MD5 String veglichen welches (sofern vorhanden) zum Namen passt. Alles wird als Formularvariable nicht als Url-Variable übergeben.
Injektons wie "... or where 1=1" werden nicht zugelassen


ohne jetzt _alle_ anderen Beiträge gelesen zu haben:

Erstens ist ein normaler MD5-String so sicher wie ne Katze auf der Autobahn.
Zweitens sollte man den Login an die IP kletten inkl. individuellem Hash, um das Ausspionieren der Daten zu verhindern.
Das könnte, wie jAuer in einem anderen Beitrag mal beschrieben hatte, natürlich auch ein nur ein bspw. durch PHP-generiertes Bild sein, was die Cookies ausliest...
Man könnte dazu noch viel schreiben, aber so far scheint deine Methode nicht die sicherste zu sein.....

Ich hatte da mal einen Beitrag geschrieben, weiss aber nicht ob der noch auf dem neuesten Stand ist, kannst ja trotzdem mal reinschauen:
http://innovative-webmedia.de/2008/02/08/x...ndert/#more-144
(Übrigens: $_GET-Variablen sind meist sicherer als $_POST-Variablen. Bei $_POST, insofern kein Verbot seitens Apache vorliegt kann ich dir praktisch jeden Sch*** rübersenden.)
 
QUOTE (nitrit @ Do 22.05.2008, 17:21) Zweitens sollte man den Login an die IP kletten inkl. individuellem Hash, um das Ausspionieren der Daten zu verhindern.

Kannst du mal etwas erklären?was du genau damit meinst

Gruß Ronny
 
Wenn sich der "richtige" User einloggt, dann sollte man versuchen XSS zu verhindern. Wenn bspw. jemand per XSS wie auch immer die Session- bzw. Cookie-Daten klaut, dann sollte ihm das nicht reichen um ins System zu kommen. Deswegen verbindest du den Hash der im Cookie und in deiner DB steht FEST mit einer ip in der datenbank... du speicherst sozusagen die Cookie-Session in der Datenbank... wenn die IP sich auch nur leicht geändert hat, LOGOUT... dann hat er zwar username (is ja nich so schlimm) und verschlüsseltes passwort, wenn es aber nicht NUR in normalen md5 verschlüsselt ist, wird er nicht ins System kommen.
 
QUOTE (Ronald Nickel @ Mi 21.05.2008, 18:40) Laut LogFile ist er (wie auch immer) über das Adminzugang reingekommen. Heißt aber er muss ein Passwort gehabt haben.
Ich werde den Kunden fragen ob er einen Strafantrag stellen will.

Gruß Ronny

Das ist zumindest in Deutschland ein Problem. Hat jemand ein Passwort gehabt, muss man nachweisen, dass er das Passwort irgendwie geknackt haben muss, also mit illegalen Mitteln daran gekommen ist. Ansonsten hat er sich im Grunde legal Zugang verschafft. Dann ist eine Strafanzeige haltlos.
 
Sie müssen sich einloggen oder registrieren, um hier antworten zu können.
Zurück
Oben