Fette Sicherheitslücke im Bonusbanner

[j.knopf]

..damit ich es nicht nochmal schreiben muss, bitte hier lesen

--> http://www.osterholzer.net/thread.php?threadid=94

[VMS1]

Wir sind aber hier und nicht da^^

[DimpleX]

Ihnen wird der Zutritt zu dieser Seite verwehrt.


muss man sich extra für anmelden? hmm



DimpleX

[Muecke]

anstatt es einfach nur zu kopieren und hier in den Thread zu packen :rolleyes: :rolleyes: :rolleyes: :rolleyes: :rolleyes:



Hi,

habe mir als webbi von mac-lose.de selbst ein Bonusbannersystem programmiert und bin bei dieser Arbeit auch möglichen Fehlerquellen nachgegangen. Hab ein wenig rumexpirimentiert und siehe da...ein fetter Bug!

Dann habe ich diesen mit einem Cron beseitigt und mal nachgeschaut, ob es bei anderen Systemen auch funktioniert...und siehe da:

BEI ALLEN von mir getesteten VMS1, die mit einem Bonusbanner arbeiten ist die gleiche Sicherheitslücke vorhanden, die mir per Cronjob Millionen von Losen/ebesuchern im Schlaf bringen würde.

Habt verständnis dafür, das ich hier keine Anleitung zum Ausnutzen dieses Bugs poste. Ich empfehle aber jedem, der einen Bonusbanner im System hat, sich per PN, oder Mail bei mir zu melden und ich sage euch genau, was schief läuft, damit ihr euer System überprüfen könnt.

Da ich noch nicht so lange dabei bin und noch nicht alle Webbis kenne, beantworte ich nur Mails oder PNs in denen ihr Postet wo ihr Webmaster seid. (möchte verhindern, das sich user informieren wollen, wie man diesen Bug ausnutzt)

Den Cron zum abstellen biete ich euch kostenlos an, aber ich kann nicht garantieren, das er bei euch unverändert läuft, da ich wie gesagt mein Bonusbannersystem selbst programmiert habe und das normal erhältliche script dazu nicht kenne. Aber ihr könnt daran zumindest sehen, wie ich das Problem gelöst habe

mfg

Skandal

Häge hier mal ne Liste dran wer betroffen war, um das Ausmaß dieses Bugs darzustellen:

loseschatz.de --->Hat sich vor der Einführung des Bonusbanners informiert. Sollte also von vorn herein gefixt sein.
Fast2Lose.de --->gefixt
ebesucher-city.de --->gefixt

weitere in Arbeit, poste aber erst, wenn gefixt!

[j.knopf]

sorry, ich hatte gedacht, das die meisten Webbis von hier eh dort angemeldet sind. Naja, dann habe ich vielleicht wenigstens einige auf den runden Tisch aufmerksam gemacht;-)

[SilentRunner]

ist das Bonusbanner von Neuling gemeint, oder welches?

[j.knopf]

hast ne PN

[j.knopf]

Es freut mich das viele Webmaster sich bei mir gemeldet haben um ihr System zu überprüfen. Da ich immer noch nicht mit Bestimmtheit sagen kann welche Skripte betroffen sind, fange ich hier mal an die Skripte zu posten, die mit Sicherheit NICHT diesen Bug haben:

Bonus-Script V3.0 Powered by Neuling
Bonusbanner Addon von alexx
....
wird erweitert..

wer eines der hier aufgelisteten Skripte verwendet, hat NICHT diesen Bug.

[Aloaman]

Da ich immer noch nicht mit Bestimmtheit sagen kann welche Skripte betroffen sind, fange ich hier mal an die Skripte zu posten, die mit Sicherheit NICHT diesen Bug haben:

Bonus-Script V3.0 Powered by Neuling
Bonusbanner Addon von alexx
....
wird erweitert..

wer eines der hier aufgelisteten Skripte verwendet, hat NICHT diesen Bug.

schön schön, haben die beiden Progger zufällig jeweils nen Shop wo mans kaufen kann?

[pummuk]

schön schön, haben die beiden Progger zufällig jeweils nen Shop wo mans kaufen kann?


ich habe meins von diesen user http://www.klamm.de/partner/unter_nickpage.php?directsearch=95264

glaube das ist das von neuling... kann es dir nciht genau sagen... frag bitte nach....
meins heißt Script Name: Klick Bonus-Addon *VMS*

[Aloaman]

ich habe meins von diesen user http://www.klamm.de/partner/unter_nickpage.php?directsearch=95264

glaube das ist das von neuling... kann es dir nciht genau sagen... frag bitte nach....
meins heißt Script Name: Klick Bonus-Addon *VMS*

Kyff war schon lange nicht mehr da und in seinem Shop ist es auch nicht. Zudem habe ich mit dem User keine guten Erfahrungen gemacht. Weiss sonst noch einer was?