Seite 1 von 7 123 ... LetzteLetzte
Ergebnis 1 bis 10 von 66

Thema: Warnung: Sicherheitslücken in Addons

  1. #1
    Erfahrener Benutzer Avatar von Gremlin
    Registriert seit
    05.07.2006
    Beiträge
    5.206

    Ausrufezeichen Warnung: Sicherheitslücken in Addons

    Hallo,
    in den letzten Tagen bin ich vermehrt auf Sicherheitslücken in Addons gestoßen mit denen es möglich ist in Kürze die Betreiberkonten leer zu räumen.

    Ein kurzes Beispiel:
    Habe ich vor wenigen Minuten bei Verliebt-in-Lose.net getestet um es euch und dem Betreiber zu demonstrieren.

    Harmlos angefangen mit einer kleinen Einzahlung um zu testen ob der Bug vorhanden ist! Und das war er:

    06.10.2008 - 00:57 VpYpNMyNuDJX9I 1.000.000,00 **** - Gewonnen
    06.10.2008 - 00:57 q28xbTjQpLv1HJ 1.000.000,00 **** - Gewonnen
    06.10.2008 - 00:57 yt6bNTSYJshsYf 1.000.000,00 **** - Gewonnen
    Daraufhin nochmal nachgezahlt um das schneller auszunutzen:

    06.10.2008 - 01:00 EZ7SJwMDtVDm1E 10.000.000,00 **** - Gewonnen
    06.10.2008 - 01:00 yYp3VUeucQuVzP 10.000.000,00 **** - Gewonnen
    06.10.2008 - 01:00 FXwwS6lgtVhjTM 10.000.000,00 **** - Gewonnen
    06.10.2008 - 00:59 wH8LJ612ikrb5u 10.000.000,00 **** - Gewonnen
    06.10.2008 - 00:59 X86xlXa7W4N0LN 10.000.000,00 **** - Gewonnen
    06.10.2008 - 00:59 7sZnCXkyZ2mxyT 10.000.000,00 **** - Gewonnen
    06.10.2008 - 00:59 1RyOzthWXjrSZY 10.000.000,00**** - Gewonnen
    06.10.2008 - 00:59 Tdb6fSrbH4h3Rf 10.000.000,00**** - Gewonnen
    06.10.2008 - 00:59 JV2rCNwnqZPA8U 10.000.000,00**** - Gewonnen
    06.10.2008 - 00:58 JOSg062PxGdrmR 10.000.000,00 **** - Gewonnen
    06.10.2008 - 00:58 AAMUEwzqMYvLjL 10.000.000,00**** - Gewonnen
    Fazit: 4 minuten Arbeit -> 103 Mio Gewinn! (welche ich dem Admin natürlich wieder gebe )

    Hätte ich noch mehr Guthaben eingezahlt hätte ich das ganze noch viel höher machen können und so in wenigen Sekunden mehrere Milliarden Lose generieren können welche ich mir dann - bei einem gut gefülltem EF - schnell mal ausgezahlt habe.


    Appel an die Webmaster:
    Baut nicht jedes Addon ein was es mal für 1 Mio an der Ecke gibt, 1 Mio sind 17cent dafür macht ein guter Progger nichtmal seinen Editor auf, wenn ihr was kauft schaut in den Code und prüft ihn auf Lücken, oder wenn ihr es nicht selbst könnt holt euch einen Co-Admin der es kann!

    Appel an die "Progger":
    Achtet endlich mal auf mehr Sicherheit, bei dem entsprechenden Spiel wo ich diesen Bug ausgenutzt habe sind es 2-3 Zeilen Code welche den Bug hätten verhindern können.

    Betroffenes Addon / Game in diesem Fall:
    - Zeche (Die Zeche die es in einem Paket mit mehreren Zechen gab)

    Informationen wie man den Bug ausnutzt wird es nicht geben auch nicht per PM etc.

    Einen Bugfix kann ich auch nicht bieten da ich den Code der Zeche nicht vorliegen habe und mir diesen Mist bestimmt auch nicht kaufe wer also
    Interesse an einem Bugfix hat, sollte sich bevorzugt an den Programmierer des Zechenaddons wenden und zwischenzeitlich die Zeche offline nehmen (einfach nur Link wegmachen reich nicht weil kluge Faker ihn bestimmt gespeichert haben deshalb Dateien vom Server löschen)

    In Kürze gibt es in diesem Thread bestimmt noch weitere Addons die von Bugs betroffen sind.

    Gruß
    cdp
    Diskutiere nie mit Idioten - sie holen Dich auf ihr Niveau und schlagen Dich dort mit Erfahrung!



  2. #2
    Erfahrener Benutzer
    Registriert seit
    31.07.2006
    Beiträge
    649
    Was cdp gesagt hat gilt auch für viele Seiten mit den Bonuslose-Addons!!! Es gibt einen Haufen Spiele die keine Sicherheitssperre habe und bzw. wo Sicherheitssperren durch den Bonuslose Code umgangen werden und so Minuskontostände ohne Probleme möglich werden, auch wenn die Spiele vorher nicht ins Minus gespielt werden konnten!!!!

  3. #3
    Erfahrener Benutzer Avatar von halk
    Registriert seit
    15.11.2006
    Beiträge
    559
    Zitat Zitat von Jenny Beitrag anzeigen
    Was cdp gesagt hat gilt auch für viele Seiten mit den Bonuslose-Addons!!! Es gibt einen Haufen Spiele die keine Sicherheitssperre habe und bzw. wo durch den Bonuslose Code umgangen werden und so Minuskontostände ohne Probleme möglich werden, auch wenn die Spiele vorher nicht ins Minus gespielt werden konnten!!!!

    Hallo!

    Das mit den Bonuslose *Sicherheitssperren* musste mal erklären. und vielleicht auch wie man dies verhindern kann. wäre doch interessant zu wissen.

    Mfg halk
    Mfg Halk


  4. #4
    Erfahrener Benutzer
    Registriert seit
    31.07.2006
    Beiträge
    649
    Nun, so weit ich bisher sehen konnte gibt es zwei Addons.

    Beide sind mit Haken und Ösen und wer ein wenig unerfahren ist hat ein Problem.

    Beide die ich kenne arbeiten nach dem Prinzip $kontostand+$bonuslose

    bei manchen Spielen wird nicht alles über php geregelt, speziell auch der Einsatz nicht und so führt ein Umbau häufig zu Minuskontoständen da das eingeben eines $kontostand= floor ($row[kontostand]+$row[bonuslose]);

    und eines

    $row[kontostand]+$row[bonuslose] < $einsatz)

    leider nicht unbedingt den gewünschten Effekt erzielt

    d.h. also es muss alles komplett durch getestet werden wo bonuslose mit zum Einsatz kommen.










  5. #5
    Erfahrener Benutzer Avatar von MrRomeobln
    Registriert seit
    03.07.2006
    Beiträge
    649
    Nabend Cdp & rest,

    @cdp meinst Du die Flash-Zeche oder nur die etwas älteren die von der Optik her recht überholungsbedürftig ausschauen(ausgenommen natürlich deine Bonus-Zeche) ?


  6. #6
    Erfahrener Benutzer Avatar von Gremlin
    Registriert seit
    05.07.2006
    Beiträge
    5.206
    Ich meine die normalen Zechen, da gab es mal welche in einem Paket wo es die Zeche, 1000er Zeche und 10000er Zeche sowie die Multizeche genau die ist es.

    Erkennt man an der Datei:
    content/spiele/ezeche.php

    Die Flashzeche hab ich auch schon getestet, bei der tritt der Fehler nicht auf.

    Gruß
    cdp
    Diskutiere nie mit Idioten - sie holen Dich auf ihr Niveau und schlagen Dich dort mit Erfahrung!



  7. #7
    Erfahrener Benutzer Avatar von jpwfour
    Registriert seit
    06.02.2008
    Beiträge
    3.717
    hm, hier schauen die dateien aber so aus:
    /einzelzeche/zeche.php
    /multiplayzeche/zeche.php
    /multizeche/zeche.php
    Kill one man, and you are a murderer.
    Kill millions of men, and you are a conqueror.
    Kill them all, and you are a god.
    - Jean Rostand, Thoughts of a Biologist (1939)

  8. #8
    Erfahrener Benutzer Avatar von Gremlin
    Registriert seit
    05.07.2006
    Beiträge
    5.206
    Wo ist denn "hier"? Wenn du von "hier" mal einen Testzugang hast kann ich ja mal testen ob es da auch den Bug gibt.
    Diskutiere nie mit Idioten - sie holen Dich auf ihr Niveau und schlagen Dich dort mit Erfahrung!



  9. #9
    Erfahrener Benutzer Avatar von eselfutter
    Registriert seit
    29.02.2008
    Beiträge
    692
    Zitat Zitat von Jenny Beitrag anzeigen
    Nun, so weit ich bisher sehen konnte gibt es zwei Addons.

    Beide sind mit Haken und Ösen und wer ein wenig unerfahren ist hat ein Problem.

    Beide die ich kenne arbeiten nach dem Prinzip $kontostand+$bonuslose

    bei manchen Spielen wird nicht alles über php geregelt, speziell auch der Einsatz nicht und so führt ein Umbau häufig zu Minuskontoständen da das eingeben eines $kontostand= floor ($row[kontostand]+$row[bonuslose]);

    und eines

    $row[kontostand]+$row[bonuslose] < $einsatz)

    leider nicht unbedingt den gewünschten Effekt erzielt

    d.h. also es muss alles komplett durch getestet werden wo bonuslose mit zum Einsatz kommen.

    Ich kenne die Addons nicht, aber nach meiner Einschätzung liegt da eher das Problem bei der umgeschriebenen Funktion kontobuchung.
    Es werden da ja lediglich die Kontostände addiert. Ist die Summe dieser Stände für den Spieleinsatz nicht ausreichend, dann wird auch kein Spiel gestartet.
    Wenn aber in der Funktion kontobuchung nicht auf ein Minuslaufen der Bonuslose geachtet wurde dann hat man ein Problem.....

  10. #10
    Erfahrener Benutzer Avatar von neoplacer
    Registriert seit
    23.07.2006
    Beiträge
    158
    Das Problem hat man aber bei fast allen Addons, dass man irgendwas includen oder injacken kann.
    Weil meist einfach nicht genau geprüft wird..
    selbst bei den Addons die man hier DL kann geht es meist.

    Was aber leider auch nicht gegeben ist das das Basissystem Fehler frei ist.
    Kuck man sich nur mal den HTML Code mit dem Validator an.

    Edit..
    Könntest du die Zeilen Posten..
    Weil so da hinzuschreiben jo ich kann injacken und mios Generieren ist nicht wirklich hilfreich.

Seite 1 von 7 123 ... LetzteLetzte

Ähnliche Themen

  1. Warnung vor hoschibear!
    Von RainbowDash im Forum User
    Antworten: 9
    Letzter Beitrag: 18.12.2012, 13:44
  2. Sicherheitslücken
    Von Pauli1990 im Forum Sonstiges
    Antworten: 0
    Letzter Beitrag: 29.11.2010, 00:23
  3. Firefox 3.0.4 schließt neun Sicherheitslücken
    Von Newsbot im Forum Talk, talk, talk...
    Antworten: 0
    Letzter Beitrag: 13.11.2008, 10:38
  4. Neue KTorrent-Version schließt Sicherheitslücken
    Von Newsbot im Forum Talk, talk, talk...
    Antworten: 0
    Letzter Beitrag: 28.10.2008, 12:13
  5. Kritische Sicherheitslücken in Adobe Flash 9
    Von Newsbot im Forum Talk, talk, talk...
    Antworten: 0
    Letzter Beitrag: 16.10.2008, 18:00

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •