Betreiberdaten auslesen=?

[Hardy]

Moin,

anscheint gibt es auf meiner Seite eine Sicherheitslücke mit der man wohl an die Betreiberdaten kommt also ID und Passwort nur die Frage ist wie kommt man denn an diese :suspicious:

[Sam2004]

Moin,

das einfachste wäre wohl, wenn Du dich an die Serverlogs setzt und selbst ermittelst, wie und wann er dran gekommen ist.

Die Frage hier in den Raum zu schmeissen, wäre genauso, als wenn Du fragen würdest, welche Lottozahlen am Samstag gezogen werden xD

Ich hoffe, Du verstehst worauf ich hinaus möchte^^ Also nicht böswillig lesen und aufnehmen ;)

Viel Glück.

LG

[jpwfour]

Häufig wird dafür eine SQL Injection (http://www.php.net/manual/de/security.database.sql-injection.php) genutzt.
Klamm-EF hat mittlerweile einen API-Key in Verbindung mit einer IP Whitelist, da wäre es theoretisch sogar fast egal, wenn jemand anderes den API Key auslesen kann.

Da man damit aber die komplette Datenbank auslesen kann, sollte man die Lücke natürlich schon schließen, bedeutet Code-review und alle Datenbankanfragen, die Userdaten ($_GET, $_POST, usw.) enthalten prüfen auf korrekte Behandlung der Daten (mysql_real_escape_string(), ...).

Könnte auch an einem include/require liegen, das man manipulieren kann, sodass es Dateien aus dem Adminforce einbindet im Userbereich (hier auch alle include/require mit $... im Pfad prüfen).