DXler
Mitglied
Beiträge: 1
|
 |
« Antwort #20 am: 05. Februar 2008 um 19:18 » |
|
Ich lese immer wieder: Paßwort ändern für alle "kritischen Accounts"...
Mal ehrlich: nehmen wir mal an, ich habe die DB gerippt und die Daten eines Benutzers entschlüsselt (nebst Paßwort), dann habe ich den vollständigen Namen, die Anschrift, die Hobbys, das Geburtsdatum und das Paßwort.
Und was bringt mir das?
Nun: die Adresse kann ich für teueres Geld verkaufen! Das Paßwort nutzt mir (relativ) wenig, denn ich müßte wissen, bei welchen "kritischen Accounts" der Benutzer genau dieses einsetzt!
Frage an alle: wißt Ihr, bei welchen Accounts ich das Paßwort benutze? Wer kennt meine Webseiten die ich regelmäßig(!) besuche und die als "kritisch" einzustufen sind?
Ehrlich gesagt: Ernst nehmen muß man die Gefahr! Das ist klar! Nur sollte man sich nüchtern überlegen, was für ein Schaden angerichtet werden kann! In einem Forum ist der Schaden nicht ganz so hoch, als wenn ein Server einer Firma gehackt würde und Kreditkartendaten wären kopiert worden...
In meinen Augen geht es dem Angreifer nur darum, Adressen teuer zu verkaufen!
Und das ist, wenn man sich die letzten Jahrzehnte ansieht, mittlerweile "das normalste auf der Welt"! Der "gläserne Mensch" ist schon seit einigen Jahrzehnten Wirklichkeit...
An dieser Wirklichkeit können wir wieso nichts ändern! Denn: Geld regiert die Welt! Und da werden die wenigsten etwas gegen den "Adresshandel" tun...
In diesem Sinne!
|
|
|
|
|
Gespeichert
|
|
|
|
vb-server
Mitglied
Beiträge: 40
|
|
« Antwort #21 am: 05. Februar 2008 um 19:21 » |
|
Das stimmt leider was du da sagst. Man könnt mit diesen daten fast n Ebay Acc machen Ich muss wohl oder übel mein Standartpasswort wegwerfen grüsse  |
|
|
|
|
Gespeichert
|
|
|
|
Christian
Mitglied
Beiträge: 12
|
|
« Antwort #22 am: 05. Februar 2008 um 19:22 » |
|
Salve
Tja... damit ist eine meiner E-Mailadressen wohl verbrannt und kann ad acta gelegt werden. Vielen Dank. Mein PW ist mir reichlich egal, ich nutze für jeden Account ein anderes. Meine Mailadresse schmerzt mich da mehr.
Christian
|
|
|
|
|
Gespeichert
|
Bald das grösste Verzeichnis mit Webkatalogen: www.webmaster-directory.biz Aktueller Stand: >620 Kataloge und Artikelverzeichnisse Mein Blog, einer der besten der Schweiz. Sagt man. Meinungen sind verschieden. |
|
|
Carny
Mitglied
Beiträge: 6
|
|
« Antwort #23 am: 05. Februar 2008 um 19:22 » |
|
Ich lese immer wieder: Paßwort ändern für alle "kritischen Accounts"...
Mal ehrlich: nehmen wir mal an, ich habe die DB gerippt und die Daten eines Benutzers entschlüsselt (nebst Paßwort), dann habe ich den vollständigen Namen, die Anschrift, die Hobbys, das Geburtsdatum und das Paßwort.
Und was bringt mir das?
Nun: die Adresse kann ich für teueres Geld verkaufen! Das Paßwort nutzt mir (relativ) wenig, denn ich müßte wissen, bei welchen "kritischen Accounts" der Benutzer genau dieses einsetzt!
Frage an alle: wißt Ihr, bei welchen Accounts ich das Paßwort benutze? Wer kennt meine Webseiten die ich regelmäßig(!) besuche und die als "kritisch" einzustufen sind?
Ehrlich gesagt: Ernst nehmen muß man die Gefahr! Das ist klar! Nur sollte man sich nüchtern überlegen, was für ein Schaden angerichtet werden kann! In einem Forum ist der Schaden nicht ganz so hoch, als wenn ein Server einer Firma gehackt würde und Kreditkartendaten wären kopiert worden...
In meinen Augen geht es dem Angreifer nur darum, Adressen teuer zu verkaufen!
Und das ist, wenn man sich die letzten Jahrzehnte ansieht, mittlerweile "das normalste auf der Welt"! Der "gläserne Mensch" ist schon seit einigen Jahrzehnten Wirklichkeit...
An dieser Wirklichkeit können wir wieso nichts ändern! Denn: Geld regiert die Welt! Und da werden die wenigsten etwas gegen den "Adresshandel" tun...
In diesem Sinne!
Naja also beliebt sind PayPal, Clickandbuy, Steam, WoW, Silroad, Emailzugang, Amazon, Ebay usw. halt alles womit der "Ripper" Geld machen kann und wodurch zwangsweise dem Besitzer Schaden entsteht. Das Passwort alleine nützt nichts, allerdings das Passwort in Kombination mit dem Usernamen und das Passwort in Kombination mit der Email, welche auch in der Datenbank gespeichert werden... Um diese Zugänge zu testen gibt es Programme, die das automatisch machen, also wenn jemand das Passwort noch woanders verwendet und den gleichen Usernamen/Email dann ist der Account potentiell gefährdet... |
|
|
|
|
Gespeichert
|
|
|
|
vb-server
Mitglied
Beiträge: 40
|
|
« Antwort #24 am: 05. Februar 2008 um 19:25 » |
|
Also wenn es in MySQL n problem ist
könnte man
Ebay
PayPal
Rapidshare
Youtube
VelderBoard
WinBoard
Computerbase
---etc---
hacken
is nicht so gut dachte immer opensource wäre sicherer als closed source
|
|
|
|
|
Gespeichert
|
|
|
|
Carny
Mitglied
Beiträge: 6
|
|
« Antwort #25 am: 05. Februar 2008 um 19:27 » |
|
Also wenn es in MySQL n problem ist
könnte man
Ebay
PayPal
Rapidshare
Youtube
VelderBoard
WinBoard
Computerbase
---etc---
hacken
is nicht so gut dachte immer opensource wäre sicherer als closed source
War glaube ich eher ein Socialengineering Angriff, bei Woltlab und phpbb weiß ich es ziemlich sicher da ich es gelesen habe, bei smfportal.de bin ich mir allerdings nicht sicher... |
|
|
|
|
Gespeichert
|
|
|
|
JoeCool1980
Mitglied
Beiträge: 1
|
|
« Antwort #26 am: 05. Februar 2008 um 19:31 » |
|
Verd****** M*st...
Hoffe der kann verknackt werden.
|
|
|
|
|
Gespeichert
|
|
|
|
Matthias13
Mitglied
Beiträge: 162
|
|
« Antwort #27 am: 05. Februar 2008 um 19:36 » |
|
Mich würde interessieren, wie man herausfinden kann ob das eigene Forum betroffen.
|
|
|
|
|
Gespeichert
|
|
|
|
vb-server
Mitglied
Beiträge: 40
|
|
« Antwort #28 am: 05. Februar 2008 um 19:37 » |
|
dein Hoster anfragen ob die SQL gedlt wurde
|
|
|
|
|
Gespeichert
|
|
|
|
Lexx
Mitglied
Beiträge: 32
|
|
« Antwort #29 am: 05. Februar 2008 um 19:41 » |
|
Oha.. und ich hab vorhin erst das von phpbb gelesen und mir gedacht "ha! Glück gehabt..." ...nicht gut.
|
|
|
|
|
Gespeichert
|
|
|
|
vb-server
Mitglied
Beiträge: 40
|
|
« Antwort #30 am: 05. Februar 2008 um 19:50 » |
|
jo
die werden gefasst.
|
|
|
|
|
Gespeichert
|
|
|
|
Matthias13
Mitglied
Beiträge: 162
|
|
« Antwort #31 am: 05. Februar 2008 um 19:51 » |
|
dein Hoster anfragen ob die SQL gedlt wurde
Ich habe ja Zugriff auf die Datenbanken, per phpmyadmin z.b. oder auch per ssh auf den Server. |
|
|
|
|
Gespeichert
|
|
|
|
GeroZ
Mitglied
Beiträge: 10
|
|
« Antwort #32 am: 05. Februar 2008 um 20:08 » |
|
Aber kann mir dann bitte mal jemand sagen, was in diesem Zusammenhang mit "Social Engineering" gemeint ist? Was es ist, ist mir schon klar - aber wie führt ein derartige Angriff ohne Injection / Cross-Scripting denn bitteschön dazu, dass man einen Dump der Datenbank ziehen kann? Und dass das bei phpBB passiert ist, belegen die Screenshots (URL bei heise.de).
So in der Art: "Ja hallo, Sie sind hier der Forum-Admin. Ich bin einer Ihrer Wohltäter Ihres Providers, bitte geben Sie mir mal das Passwort Ihrer SQL-Datenbank, ich muss unbedingt schnell mal den Luftdruck prüfen." Oder wie bitte sonst? Hilft einem ein Account eines anderen als des Admin-Users weiter? *kopfkratz*
|
|
|
|
|
Gespeichert
|
|
|
|
|
Ferrika
|
|
« Antwort #33 am: 05. Februar 2008 um 20:11 » |
|
@admins, habt Ihr Logfiles? werde die auf meinem Webspace kontrollieren
was wenns attackiert wurde?
Ich glaub, diese Panikmache ist momentan noch unbegründet. Wie Jorin schon sagte: wichtig ist, daß ihr erst einmal alle Admin-Accounts mit neuen und sicheren Passwörtern verseht. Und diejenigen, die mal hier per PN ihre Zugangsdaten weitergegeben haben, sollten blitzschnell auch dort die Passwörter ändern. Ein 10stelliges, zufällig generiertes Passwort sollte da bereits genügen. Ansonsten haben die Hacker, denke ich, momentan erst mal genug zu tun, die Daten zu sichten und die werden sich bei den nächsten "Angriffen" mit Sicherheit erst einmal zielstrebig lohnende Ziele suchen. Also Foren mit vielen Usern und interessantem Inhalt, viel Traffic u.s.w. Also kümmert euch erst mal um eure Admins, gebt die Warnung in euren Foren weiter und ändert eure Datenbankpasswörter. Damit haben die Hacker dann nix von der geklauten Datenbank. Gruß Ferrika |
|
|
|
|
Gespeichert
|
"Dunkel ist die andere Seite......" "Halt die Klappe, Yoda und iss Deinen Toast"  Kein Support per Mail oder PN! |
|
|
stard
mitten in der
Entwicklung
Beiträge: 3228
ach, das war eine frage?!
|
|
« Antwort #34 am: 05. Februar 2008 um 20:49 » |
|
Aber kann mir dann bitte mal jemand sagen, was in diesem Zusammenhang mit "Social Engineering" gemeint ist?
als SE bezeichnen hacker auch das flachlegen der hässlichen sekretärin des hosters um direkt an die serverdaten zu kommen - der fantasie sind da keine grenzen gesetzt. was mich wundert ist das alle drei foren die gleiche sekretärin haben. oder mister hacker ist einfach unwiderstehlich, dann hätte ich auch gerne seine se skillz ^^ |
|
|
|
|
Gespeichert
|
|
|
|
GeroZ
Mitglied
Beiträge: 10
|
|
« Antwort #35 am: 05. Februar 2008 um 20:52 » |
|
als SE bezeichnen hacker auch das flachlegen der hässlichen sekretärin des hosters um direkt an die serverdaten zu kommen "Fräulein ... äh ... Müller ... Wo haben wir nochmal das Masterpasswort für unsere MySQL-Server? Ach ja richtig, auf dem Zettel, der unter ihrer 2. Schreibtischschublade klebt. Danach kommen Sie bitte nochmal zum Diktat rein." *seufz* |
|
|
|
|
Gespeichert
|
|
|
|
stard
mitten in der
Entwicklung
Beiträge: 3228
ach, das war eine frage?!
|
|
« Antwort #36 am: 05. Februar 2008 um 20:58 » |
|
jo, man glaubt garnicht wo überall passworte ~kleben~
|
|
|
|
|
Gespeichert
|
|
|
|
Ralf
Mitglied
Beiträge: 237
|
|
« Antwort #37 am: 05. Februar 2008 um 21:18 » |
|
Hi.
Bin echt mal gespannt wie die das geschafft haben. Ich hatte zum Glück alle wichtigen Informationen in den PM,s schon seit langem gelöscht.
Gruß Ralf
|
|
|
|
|
Gespeichert
|
Für Freunde immer da !!!
|
|
|
|
|
kretschi
Mitglied
Beiträge: 7
|
|
« Antwort #39 am: 05. Februar 2008 um 21:39 » |
|
nabend allerseits,
sollte das tatsächlich über einen SE "angriff" erfolgt sein, möchte ich persönlich, dem admin, der überrumpelt wurde: gratulieren.
wie kann man bloß so sorglos mit den zugangsdaten herumprahlen?
ich bin einfach nur wütend. das kanns echt nicht sein.
|
|
|
|
|
Gespeichert
|
|
|
|
|
