Website gehackt :(

[harakiri]

www.team-atm.de

klickt mal auf Mitglieder (Shadow)... rote schrift!

Wie kann man bei mir reinkommen? alle logindaten stehen in einer Datenbank, alles weitere in php dateien und ich arbeite mit sessions...

wie kam der rein`??

BRAUCHE GAAANZ DRINGEND HILFE!!!

[hansi]

sorry, aber ich hab unter "Mitglieder" nichtsgefunden ...

(Shadow)... rote schrift!

cu

[harakiri]

habe ich schon wieder gelöscht...

da stand was von: "So einfach isses hier reinzukommen"... bla bla... und dann hat ern noch was unter reports geschrieben...

mich würde interessieren, wie man da reinkommt.!!!

wie gesagt: alles mit DB (mysql) + php (per sessions den username und die rechte)

[hansi]

zeig doch bitte mal ein screenshot ...
wo wird denn deine homepage gehostet ??

[harakiri]

ich glaube, ich habe schon das sicherheitsloch gefunden ...
screenshot? nützt nix - da hat nur ejamdn der nicht befugt war inhalte auf die hp gebracht... und ich glaube zu wissen, wie...

kann auch eigentlich nur einer aus diesem forum sein, weil ohne kenntnisse des login-scripts (welches ich teilweise gepostet hatte um hilfe zu bekommen) geht das nicht...

[Campus]

lol, wer macht sich die mühe ? hast du zufällig einemal n link mit phpsess gepostet ?

[DeathCraze]

schon scheisse

Könntest vielleicht sagen wo dran es lag, da du das ja jetzt korrigiert hast, damit nicht mehrere den gleichen Fehler machen ??!!

[harakiri]

ne... habe alles mit sessions gemacht, aber in den sicherheitsabfragen keine sessionvariablen, sondern nur die variablen abgefragt... Kenner des Scripts können natürlich nun die variable locker in der url übergeben...

Ausgebessert!

[harakiri]

@deathcraze:

habe so abgefragt: if level < 100 ...
nun hätte jeder machen können: adminpanel.php?level=100 und wäre drinne...

so wäre es richtig: if ($HTTP_SESSION_VARS["level"] < "100") ...

[Campus]

naja, dafür muss man nicht den script kennen. nur n account

[hansi]

hab gerade mal etwas im forum gesucht.
hier der link zum script im forum.

stimmt kann nur einer gewesen sein, der das script kennt.

cu

[harakiri]

war ja ein "lieber" hacker... er hat mir ja geschrieben (unter reports LOL) dass ich ihn kontaktieren soll um das loch zu stopfen... habs aber selbr geschafft..


@hansi: falls es ne anspielung auf tobiaz sein sollte: nur weil er als einzigster geantwortet hat, heißt es nicht, dass kein anderer den beitrag gelesen hat

@campus: benutzername nützt nur beim login was.. und der wird über sessions gemacht - man musste sich nicht einmal einloggen - es reichte die angabe: level=100...

[TobiaZ]

Hi!

War auch nicht die "Feine Englische Art". Aber ich garantiere dir, einen solchen Fehler machst du bestimmt nicht mehr...

[hansi]

ich würde doch nie tobiaz kompetenz unterschätzen.
ein wirklicher php-profi !

cu

[TobiaZ]

Ich sag es ja immer wieder, man brauch nur ein wenig Phantasie! Jetzt wisst ihr warum...