PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Fette Sicherheitslücke im Bonusbanner



j.knopf
19.08.2007, 04:32
..damit ich es nicht nochmal schreiben muss, bitte hier lesen

--> http://www.osterholzer.net/thread.php?threadid=94

VMS1
19.08.2007, 08:11
Wir sind aber hier und nicht da^^

DimpleX
19.08.2007, 09:13
Ihnen wird der Zutritt zu dieser Seite verwehrt.


muss man sich extra für anmelden? hmm



DimpleX

Muecke
19.08.2007, 09:18
anstatt es einfach nur zu kopieren und hier in den Thread zu packen :rolleyes: :rolleyes: :rolleyes: :rolleyes: :rolleyes:



Hi,

habe mir als webbi von mac-lose.de selbst ein Bonusbannersystem programmiert und bin bei dieser Arbeit auch möglichen Fehlerquellen nachgegangen. Hab ein wenig rumexpirimentiert und siehe da...ein fetter Bug!

Dann habe ich diesen mit einem Cron beseitigt und mal nachgeschaut, ob es bei anderen Systemen auch funktioniert...und siehe da:

BEI ALLEN von mir getesteten VMS1, die mit einem Bonusbanner arbeiten ist die gleiche Sicherheitslücke vorhanden, die mir per Cronjob Millionen von Losen/ebesuchern im Schlaf bringen würde.

Habt verständnis dafür, das ich hier keine Anleitung zum Ausnutzen dieses Bugs poste. Ich empfehle aber jedem, der einen Bonusbanner im System hat, sich per PN, oder Mail bei mir zu melden und ich sage euch genau, was schief läuft, damit ihr euer System überprüfen könnt.

Da ich noch nicht so lange dabei bin und noch nicht alle Webbis kenne, beantworte ich nur Mails oder PNs in denen ihr Postet wo ihr Webmaster seid. (möchte verhindern, das sich user informieren wollen, wie man diesen Bug ausnutzt)

Den Cron zum abstellen biete ich euch kostenlos an, aber ich kann nicht garantieren, das er bei euch unverändert läuft, da ich wie gesagt mein Bonusbannersystem selbst programmiert habe und das normal erhältliche script dazu nicht kenne. Aber ihr könnt daran zumindest sehen, wie ich das Problem gelöst habe

mfg

Skandal

Häge hier mal ne Liste dran wer betroffen war, um das Ausmaß dieses Bugs darzustellen:

loseschatz.de --->Hat sich vor der Einführung des Bonusbanners informiert. Sollte also von vorn herein gefixt sein.
Fast2Lose.de --->gefixt
ebesucher-city.de --->gefixt

weitere in Arbeit, poste aber erst, wenn gefixt!

j.knopf
19.08.2007, 12:25
sorry, ich hatte gedacht, das die meisten Webbis von hier eh dort angemeldet sind. Naja, dann habe ich vielleicht wenigstens einige auf den runden Tisch aufmerksam gemacht;-)

SilentRunner
19.08.2007, 13:04
ist das Bonusbanner von Neuling gemeint, oder welches?

j.knopf
19.08.2007, 13:38
hast ne PN

j.knopf
21.08.2007, 14:03
Es freut mich das viele Webmaster sich bei mir gemeldet haben um ihr System zu überprüfen. Da ich immer noch nicht mit Bestimmtheit sagen kann welche Skripte betroffen sind, fange ich hier mal an die Skripte zu posten, die mit Sicherheit NICHT diesen Bug haben:

Bonus-Script V3.0 Powered by Neuling
Bonusbanner Addon von alexx
....
wird erweitert..

wer eines der hier aufgelisteten Skripte verwendet, hat NICHT diesen Bug.

Aloaman
19.11.2007, 18:13
Da ich immer noch nicht mit Bestimmtheit sagen kann welche Skripte betroffen sind, fange ich hier mal an die Skripte zu posten, die mit Sicherheit NICHT diesen Bug haben:

Bonus-Script V3.0 Powered by Neuling
Bonusbanner Addon von alexx
....
wird erweitert..

wer eines der hier aufgelisteten Skripte verwendet, hat NICHT diesen Bug.

schön schön, haben die beiden Progger zufällig jeweils nen Shop wo mans kaufen kann?

pummuk
19.11.2007, 19:27
schön schön, haben die beiden Progger zufällig jeweils nen Shop wo mans kaufen kann?


ich habe meins von diesen user http://www.klamm.de/partner/unter_nickpage.php?directsearch=95264

glaube das ist das von neuling... kann es dir nciht genau sagen... frag bitte nach....
meins heißt Script Name: Klick Bonus-Addon *VMS*

Aloaman
20.11.2007, 21:44
ich habe meins von diesen user http://www.klamm.de/partner/unter_nickpage.php?directsearch=95264

glaube das ist das von neuling... kann es dir nciht genau sagen... frag bitte nach....
meins heißt Script Name: Klick Bonus-Addon *VMS*

Kyff war schon lange nicht mehr da und in seinem Shop ist es auch nicht. Zudem habe ich mit dem User keine guten Erfahrungen gemacht. Weiss sonst noch einer was?