BlackBoard | Druckvorschau: PHP / MySQL - Hackit

BlackBoard (http://www.black-board.net/index.php)
- Computerecke (http://www.black-board.net/board.php?boardid=30)
-- Netzwerke/Telekommunikation (http://www.black-board.net/board.php?boardid=2)
--- HackIt PHP / MySQL - Hackit (http://www.black-board.net/thread.php?threadid=12840)

Geschrieben von Compuholic am 07.07.2003 um 17:13:

PHP / MySQL - Hackit

So, langsam ist es mal wieder Zeit für ein neues Hackit:

Ihr findet es hier.
Es gibt natürlich Regeln. Die sollten zwar für jeden selbstverständlich sein, aber es gibt immer wieder ein paar Kindsköpfe (Darwin lag falsch: Die Dummen sterben trotzdem nicht aus...):

Keine Floods oder DoS-Attacken aller Art
Kein Bruteforce
Keine Modifikation von Daten
Keine Scans (alle benötigten Dienste laufen auf den Standard-Ports)
Keine Attacken auf andere Rechner

Als gelöst werte ich die Aufgabe, wenn mir jemand Benutzernamen und Kennwort zuschickt. Dazu eine kurze Erklärung, wie er es geschafft hat (nur um sicherzugehen, daß er auch selbst draufgekommen ist, oder nicht zufällig das Passwort erraten hat).

Hall of Fame:
1. LX
2. Jutaro
3. Zirias
4. Black-Star
5. Kalka
6. scr!pTk!d
7. DarkCoder
8. [CF]Bunny

Viel Spaß...

Geschrieben von LX am 08.07.2003 um 15:35:

So, nach einigen Sackgassen und Problemchen (mein Paketfilter hat mich 'n paar Nerven gekostet) hab ich's nu endlich raus. Alles in allem ist es net so schwer, wenn man die zündende Idee für den Anfang hat

Geschrieben von Deef am 08.07.2003 um 15:48:

Klasse ... ich hab die mySQL Zugangsdaten bin aber in der Firma hinter nem Proxy, welches mir den Zugang zur Datenbank verwehrt

Aber gratulation zu der Idee

EDIT: Von zu Haus aus geht alles besser

Geschrieben von scr!pTk!d am 09.07.2003 um 21:51:

Ich kenne mich leider mit PHP überhaupt nicht aus. Alles was ich geschafft habe war über [edit] den Source anzuschauen. Leider stehen UN und PW in der MySQL und ich habe keinen blassen Schimmer wie ich da dran kommen könnte. Über Tipps per PM würde ich mich freuen.
MfG

Geschrieben von Kalka am 09.07.2003 um 22:19:

wenn man sich doch nur etwas mit MySQL auskennen würde.....

cu Kalka

Geschrieben von scr!pTk!d am 10.07.2003 um 23:51:

Endlich geschafft

(thx to LX)
Cooles Hackit
MfG

Geschrieben von Zmaster am 12.07.2003 um 16:20:

include

Wie kann es passieren, dass bei der PHP Code nicht ausgeführt wird, sondern einfach so abgeschickt wird?
Die Sache hat mich beunruhigt und ich musste erstmal bei meinen Programmen nachschauen, ob so eine Sicherheitslücke da ist.
Ich habe aber zum Glück immer folgendes stehen:

code:
1: 2: 3: 4:	<?php if(file_exists("inc_$menue.php")) include("inc_$menue.php"); ?>

Man kann also nicht einfach so jede beliebige Datei einbinden, sondern nur, die dafür auch vorgesehen wurden.
Das war aber für mich für die bessere Übersicht gedacht.

)

Gruß
zmaster

Geschrieben von LX am 12.07.2003 um 16:55:

Es ist allgemein eine schlechte Idee, Dateinamen direkt aus Parametern zu übernehmen. Eine bessere Abfrage wäre:

code:
1: 2: 3: 4: 5: 6:	switch ($menue) { case 'blah1': include('blah1.php'); break; case 'blah2': include('blah2.php'); break; default: include('error.php'); break; }

Auf diese Weise können wirklich nur die Dateien eingebunden werden, die auch tatsächlich vom Programmierer dafür vorgesehen wurden.

Geschrieben von Kalka am 13.07.2003 um 12:34:

also mit "Quelltext anzeigen" geht das nicht *g*..du musst einen anderen Weg finden

und nicht gegen die Regeln verstoßen!

cu Kalka

Geschrieben von HaZuLiD0 am 13.07.2003 um 12:36:

-----------------------------

Geschrieben von Kalka am 13.07.2003 um 12:55:

ich gebe höchstens Hinweise, muss man ja schließlich selbst rausfinde

cu Kalka

PS: die vielen "BITTE" werden in Foren nich gern Gesehn, editiers besser mal zu.."Bitte!"

Geschrieben von Champus am 07.08.2003 um 13:11:

Was is denn das fürn scheiss coding style? Das sowas noch funzt :>

code:

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:

<?php


$file = $_GET['file']; 
if (!isset($file)) 
{


$file = 'regeln';

}


$file = str_replace('/', '', $file); 
$file = str_replace('..', '', $file); 


$fp = fopen($file, 'r'); 
if ($fp == FALSE) 
{


die("Fehler beim Öffnen der Datei: $file"); 
}

else

$content = fread($fp, filesize($file));



echo $content; 
fclose($fp);

?>

Geschrieben von Compuholic am 07.08.2003 um 13:15:

Was ist denn daran so schlecht?

Wenn man mal davon absieht, daß der Code eine gewaltige Sicherheitslücke enthält (die natürlich hier beabsichtigt ist), passt doch sonst alles. Was ich da alles in meinem Log so sehe: Ich finde es schon fast beleidigend, daß Du annimmst, daß ich Windows hätte*g*.

Geschrieben von Champus am 07.08.2003 um 13:47:

Och naja
Versuchen kann mans ja :>
Naja si realtiv einfach das hackit, wo muss ich die daten hinsenden?

Geschrieben von Compuholic am 07.08.2003 um 13:49:

Eine PM mit den Zugangsdaten genügt. Zusammen mit einer kurzen Erklärung, wie Du es gemacht hast.

Geschrieben von Champus am 07.08.2003 um 13:53:

Oki, schick sofort los!

Geschrieben von Compuholic am 07.08.2003 um 16:08:

Was ist jetzt? Ich warte immer noch auf die Daten von beiden Hackits (seit deiner Ankündigung sind jetzt mittlerweile ca 6 Stunden vergangen. Und ich weiß, daß Du inzwischen das Forum besucht hast).
Ohne diese PM gibts auch keinen Eintrag in die Highscoreliste...

Geschrieben von [CF]Bunny am 11.08.2003 um 00:56:

/me hat es gleich auch raus

Geschrieben von Compuholic am 11.08.2003 um 02:00:

Du bist der Held...

Ein Hackit basiert ja darauf, daß man absichtlich eine Sicherheitslücke einbaut, die es
1. gilt zu finden (was auch einschließt, daß die mehr oder weniger offensichtlich ist)
2. praktisch ausnutzbar ist

Das ist bei deinem "Hackit" nicht gegeben. Denn es ist genauso wie der allseits bekannte JavaScript Passwortschutz bei dem man auf <eingegebener Wert>.html weitergeleitet wird. Nur in dieser Hinsicht ist nämlich der JavaScript Schutz noch sicherer als dein PHP-"Schutz". Hättest Du Dir nämlich einen anderen Hoster als Tripod Lycos ausgesucht (die nämlich genau wissen, daß die meisten ihrer Kunden, die PHP benutzen keine Ahnung haben und deshalb einige wichtige Funktionen von PHP gesperrt habe), hätte ich dein "Sicherheitssystem" nicht nur umgehen können, sondern auch dazu verwenden können, deine Website zu verändern. Also sollte man, wenn man schon so etwas macht sich auch ein wenig damit auskennen.

Geschrieben von Champus am 11.08.2003 um 10:50:

Compuholic ich hab vergessen dir das PW zu senden, und aufgeschrieben hab ichs auchnet, ich setz mich nochma ran, die Wege sind mir ja jetzt klar!
PM kommt, versprochen!