Registrieren  •  Login 
  
 
im Forum


 FAQ   Mitgliederliste   Benutzergruppen   Teamseite   Suchen 

phpBB.de und woltlab.de gehackt!

 
Neues Thema eröffnen   Neue Antwort erstellen
Vorheriges Thema anzeigen :: Nächstes Thema anzeigen  
Autor Nachricht
rami
Mitglied
Mitglied



Anmeldedatum: 07.10.2006
Geschlecht: Männlich
Beiträge: 759

BeitragVerfasst am: 07.02.2008, 19:02    Titel: phpBB.de und woltlab.de gehackt!

Jeder Leser der News von phpBB.de weiß es schon, aber hier habe ich noch einmal eine schöne Zusammenfassung der Hackvorgänge gefunden:
Kaba's Blog hat Folgendes geschrieben:
Der Tag des Datendiebstahls

Heute ist offenbar der Tag des Datendiebstahls…

Zuerst kam eine Mail von phpbb.de ins Postfach geflattert. Ein kurzer Auszug daraus:

Zitat:
[…] Gestern wurde ein gezielter Angriff auf phpBB.de gefahren. Wir müssen derzeit davon ausgehen, dass durch diesen Angriff die Benutzerdaten (Benutzername, E-Mail-Adresse und MD5-Hash des Passworts) der auf phpBB.de registrierten Benutzer offengelegt wurden. In wie weit diese Daten missbräuchlich verwendet wurden/werden, ist uns derzeit nicht bekannt - allerdings kann nicht ausgeschlossen werden, dass diese Daten verkauft werden.

Ihr solltet daher davon ausgehen, dass eure oben genannten Daten öffentlich sind und insbesondere das Passwort ändern. Denkt bitte auch an die Stellen, wo ihr das gleiche Passwort verwendet und insbesondere den betroffenen E-Mail-Account. Durch einen Brute-Force-Angriff ist es möglich, dass euer Passwort entschlüsselt wird / wurde.


Hört sich doch gar nicht mal so schlecht an… Immerhin, im letzten Absatz:

Zitat:
Wir möchten uns bei euch für die entstandenen und entstehenden Umstände vielmals entschuldigen. Ihr könnt euch sicher sein, dass uns diese Situation extrem peinlich ist. Weitere Informationen werden wir ggf. unter oben genannter Adresse veröffentlichen.


Das dieser Vorfall phpbb.de “peinlich” (Zitat) ist, kann ich mir gut vorstellen. Aber netterweise hat man sich doch noch entschuldigt. Außerdem scheint phpbb.de im Moment den Server vom Netz genommen zu haben, die Domain phpbb.de antwortet im Moment nicht.
Hier noch die Meldung von heise.de. Außerdem soll im Support-Forum von phpbb.de ein Thread dazu eröffnet worden sein, aber wie gesagt ist das Support-Forum momentan nicht erreichbar.

Allerdings war das, so weit man das beurteilen kann, kein Einzelfall, wie ein Screenshot eines Forenthreads auf h4ckyou.org beweißt.

Denn heute Mittag um kurz von 15 Uhr kam eine Mail von WoltLab.de reingeschneit:

Zitat:
[…] wie uns gemeldet wurde, hat ein Hacker sich Zugang zur Datenbank des WoltLab Supportforums verschafft und davon eine komplette Sicherung der Datenbank erstellt.

Soweit wird das bisher recherchieren konnten, kannte der Hacker das Passwort eines Administrators und konnte sich so Zugang zur Administrationsoberfläche verschaffen. Wir vermuten, dass der Hacker das Passwort des Administrators über den Hack einer anderen Seite, wo das gleiche Passwort verwendet wurde, erfahren hat. Es handelt sich also nicht um einen Fehler in der Forensoftware.

Ist schon scheiße, wenn ein Administrator so dumm ist, auf mehreren Seiten das gleiche Passwort zu verwenden… Tut mir leid, liebe WoltLab-Leute, aber da hört bei mir das Mitleid auf…
Weiter in der Mail:

Zitat:
Folgende Daten wurden beim Einbruch gestohlen:
- Daten der registrierten Nutzer im Supportforum (E-Mail-Adressen, verschlüsselte Passwörter)
- Beiträge aus internen Bereichen
- Private Nachrichten
[…]

Wer vertrauliche Zugangsdaten in internen Beiträgen, privaten Nachrichten oder im Ticket-Support angegeben hat, sollte diese umgehend ändern. Nutzer-Passwörter müssen nicht geändert werden, da diese mit einer wirkungsvollen Verschlüsselung gespeichert waren.
Folgende Daten wurden beim Einbruch nicht gestohlen:
- Mitgliederbereichszugangsdaten
- Lizenzzugangsdaten


Aber WoltLab.de geht schon rigoroser mit dem Hacker/den Hackern um:

Zitat:
Wir haben bereits Strafanzeige gegen den Hacker gestellt. Gleichzeitig haben wir die Sicherheitsmaßnahmen nochmals verschärft, sodass wieder ein sicherer Betrieb möglich ist und sich ein solcher Verfall nicht wiederholen wird.


Ein Verfall wird bestimmt stattfinden… Aber ich denke, dass Herr Werk, Geschäftsführer von WoltLab, bestimmt einen “Vorfall” gemeint hat… Smile
Aber ob sich ein solcher Vorfall noch einmal wiederholen wird, steht in den Sternen. Nur mit ein paar verschärften Sicherheitsmaßnahmen kann man nicht garantieren, dass nichts mehr schiefläuft.

Außerdem wurden laut Screenshot noch die Daten von phpbb2.de gestohlen, aber offenbar schweigen sich die Betreiber bisher aus.

Nun kann man sich natürlich noch fragen, wie es passieren konnte, dass offenbar (wie man aus dem Screenshot lesen kann) eine Person drei bekannte Webseiten knacken kann… Haben die Betreiber noch nie was von Sicheheitsmanagment gehört?


Mit freundlicher Erlaubnis von: http://www.kaba-blog.de/2008/02/05/der-tag-des-datendiebstahls/
Nach oben
Benutzer-Profile anzeigen rami ist derzeit offline Spielerprofile bei SC:Special Bewerben anzeigen Private Nachricht senden E-Mail senden Website dieses Benutzers besuchen
Qu4rK
Mitglied
Mitglied



Anmeldedatum: 12.07.2006
Geschlecht: Männlich
Beiträge: 261
Wohnort: Bayreuth

BeitragVerfasst am: 08.02.2008, 12:32    Titel:

Ich finde es lustig, dass es bei Wotlab erst gar nicht bemerkt wurde...

Wer schon so dumm ist, und das Passwort für die Anwendungen, die auf dem eigenen Server laufen, das gleiche Passwort verwendet wie auf anderen Webseiten, der soll auch bestraft werden. Solche Fehler können passieren, sollten aber nicht.

Hier übrigens ein Screenshot, von "Wotlab"... gefunden auf heise.de. Wink
_________________
"Ubuntu" - an African word, meaning "Slackware is too hard for me"
Nach oben
Benutzer-Profile anzeigen Qu4rK ist derzeit offline Private Nachricht senden Website dieses Benutzers besuchen
SteveHH
Mitglied
Mitglied



Anmeldedatum: 19.05.2007
Geschlecht: Männlich
Beiträge: 1372
Wohnort: Hamburg

BeitragVerfasst am: 08.02.2008, 17:10    Titel:

.. ich weiss nur, das der Thread-Eröffner selber einmal ein nettes Sicherheitsproblem hatte und (aus Versehen?) seine kompletten Zugangsdaten öffentlich 'ausgestellt' hatte .. man sollte also erst einmal vor seiner eigenen Haustüre kehren und dann erst andere Leute 'verurteilen' (ich nehme an, das auch der Thread-Starter ein wenig belustigt reagiert hat auf diese Nachrichten) .. ich glaube nicht, das jeder User tausende Passwörter für sämtliche Seiten, auf denen er registriert ist, besitzt.
Noch dazu sollte man beachten, das auch vermeintlich 'sichere' Passwörter erraten oder durch einen dummen Zufall an's Licht kommen können.
Weiterhin glaube ich, das sich keiner anmaßen sollte, über die Admins der betreffenden Boards zu urteilen, sie wären unfähig (wie man es bei den Reaktionen bei Heise z.B. lesen kann).. wenige Leute (und das sind in der Regel Vollprofis) können von sich behaupten, das sie eine Seite annähernd Sichern können... 150%ige Sicherheit gibt es definitv nur, wenn der Rechner nicht am Netz hängt und nur der Besitzer Zugang zu dem Standort hat Wink

P.S.: Auch phpBB.de hat Strafanzeige erstattet - nicht nur Woltlab !
_________________
Crocodiles Hamburg - Eishockey mit Herz !

Home of the Crocodiles

Ich spreche Englisch, weil ich damit bisher viele gute Freundschaften knüpfen konnte und noch knüpfen kann - weltweit !!

Komu potrzebne jest esperanto?

Dieser Beitrag wurde insgesamt 2 mal geändert. Zuletzt von SteveHH.
Nach oben
Benutzer-Profile anzeigen SteveHH ist derzeit offline Private Nachricht senden Website dieses Benutzers besuchen
Qu4rK
Mitglied
Mitglied



Anmeldedatum: 12.07.2006
Geschlecht: Männlich
Beiträge: 261
Wohnort: Bayreuth

BeitragVerfasst am: 09.02.2008, 01:20    Titel:

SteveHH hat Folgendes geschrieben:
ich weiss nur, das der Thread-Eröffner selber einmal ein nettes Sicherheitsproblem hatte

Kann ich bestätigen, er hatte eine Lücke, mit der man ganz schnell eine SQL-Injektion hätte durchführen können. Wink

SteveHH hat Folgendes geschrieben:
Noch dazu sollte man beachten, das auch vermeintlich 'sichere' Passwörter erraten oder durch einen dummen Zufall an's Licht kommen können.

Stimmt an sich schon. Passwörter lassen sich per Bruteforce knacken. Aber die wenigsten Hacker haben bei einem Passwort mit einer Kombination von Sonderzeichen, Zahlen, Groß- und Kleinschreibung noch Lust dazu. Allein schon deswegen, weil es dann mindestens 5 Menschenleben Zeit kostet... Wink
_________________
"Ubuntu" - an African word, meaning "Slackware is too hard for me"
Nach oben
Benutzer-Profile anzeigen Qu4rK ist derzeit offline Private Nachricht senden Website dieses Benutzers besuchen
SteveHH
Mitglied
Mitglied



Anmeldedatum: 19.05.2007
Geschlecht: Männlich
Beiträge: 1372
Wohnort: Hamburg

BeitragVerfasst am: 09.02.2008, 14:23    Titel:

Du darfst nicht die sog. Yellow-Pages vergessen .. mit deren Hilfe kann man relativ schnell ein Passwort herausbekommen (sofern dieses schon einmal berechnet wurde). Und die Warscheinlichkeit ist ziemlich hoch, das es klappt - zumindest mit 'normalen' Passwörtern.
_________________
Crocodiles Hamburg - Eishockey mit Herz !

Home of the Crocodiles

Ich spreche Englisch, weil ich damit bisher viele gute Freundschaften knüpfen konnte und noch knüpfen kann - weltweit !!

Komu potrzebne jest esperanto?
Nach oben
Benutzer-Profile anzeigen SteveHH ist derzeit offline Private Nachricht senden Website dieses Benutzers besuchen
killerbees19
Administrator & Rennleitung
Administrator & Rennleitung



OC-Nickname: KB19
Südafrika Team South Africa

Anmeldedatum: 09.05.2006
Geschlecht: Männlich
Alter: 29 Jahre
Beiträge: 13937
Wohnort: Wien

BeitragVerfasst am: 09.02.2008, 15:08    Titel:

SteveHH hat Folgendes geschrieben:
mit deren Hilfe kann man relativ schnell ein Passwort herausbekommen

Qu4rk hat Folgendes geschrieben:
bei einem Passwort mit einer Kombination von Sonderzeichen, Zahlen, Groß- und Kleinschreibung

Und noch einer schönen Länge von 12 bis 16 Zeichen...
Da lohnt sich das Knacken aber wirklich erst, wenn viel dahinter steckt...

MfG Christian
_________________


Dieser Beitrag wurde insgesamt 1 mal geändert. Zuletzt von killerbees19.
Nach oben
Benutzer-Profile anzeigen killerbees19 ist derzeit offline Spielerprofile bei SC:Special Bewerben anzeigen Private Nachricht senden Website dieses Benutzers besuchen
SteveHH
Mitglied
Mitglied



Anmeldedatum: 19.05.2007
Geschlecht: Männlich
Beiträge: 1372
Wohnort: Hamburg

BeitragVerfasst am: 09.02.2008, 17:26    Titel:

Wenn das Passwort aus 16 normalen (!) Zeichen besteht, ist es im günstigsten Fall per Yellow-Page eine Sache von Minuten, dieses herauszubekommen. Das ist ja gerade der Vorteil dieser Angriffs- bzw. Hacking-Methode: Da alle möglichen Kombinationen dort schon vorhanden (mehrere Millionen Wort-/Buchstaben-Kombinationen) und mit ihrem jeweiligen HASH-Wert gespeichert sind, hat man damit natürlich ganz nette möglichkeiten.
Wir hatten in einer ehemaligen Firma von mir mal einen UNIX-Systemanalytiker, der wirklich Passwörter mit ~20 Zeichen, darunter groß- und Kleinschreibung, Sonderzeichen, Zahlen usw. benutzt hat .. ich denke, so etwas ist wohl ziemlich sicher... nur im Ernst: Wer kann sich so etwas merken - vor allem, wenn man auf ~100 Foren eingetragen ist, und wirklich für jedes ein anderes PW hat ?! Wink
Und dann kommt die nächste Sicherheitslücke zum tragen: Die Speicher-Funktion von Firefox und Co. Cool ..
Man kann es also drehen und wenden wie man will: Kaum einer von uns ist wirklich in der Lage, absolut sicher im Netz zu agieren - und mal ehrlich: Wer von euch ist der Meinung, das seine Daten eine solche Relevanz besitzen, das es sich lohnt, maximale Geschütze gegen alles mögliche aufzufahren - noch dazu vom Faktor Geld betrachtet ?!
_________________
Crocodiles Hamburg - Eishockey mit Herz !

Home of the Crocodiles

Ich spreche Englisch, weil ich damit bisher viele gute Freundschaften knüpfen konnte und noch knüpfen kann - weltweit !!

Komu potrzebne jest esperanto?

Dieser Beitrag wurde insgesamt 1 mal geändert. Zuletzt von SteveHH.
Nach oben
Benutzer-Profile anzeigen SteveHH ist derzeit offline Private Nachricht senden Website dieses Benutzers besuchen
rami
Mitglied
Mitglied



Anmeldedatum: 07.10.2006
Geschlecht: Männlich
Beiträge: 759

BeitragVerfasst am: 10.02.2008, 20:15    Titel:

Ich habe niemanden verurteilt, ich habe berichtet, was ich gelesen habe.
Ganz nebenbei wurde auch das deutsche Supprotforum von SMF kurz darauf gehackt: http://www.heise.de/newsticker/meldung/103049
Nach oben
Benutzer-Profile anzeigen rami ist derzeit offline Spielerprofile bei SC:Special Bewerben anzeigen Private Nachricht senden E-Mail senden Website dieses Benutzers besuchen
Beiträge der letzten Zeit anzeigen:   
Neues Thema eröffnen   Neue Antwort erstellen Alle Zeiten sind GMT + 1 Stunde
Seite 1 von 1

 
Gehe zu:  
Du kannst keine Beiträge in dieses Forum schreiben.
Du kannst auf Beiträge in diesem Forum nicht antworten.
Du kannst deine Beiträge in diesem Forum nicht bearbeiten.
Du kannst deine Beiträge in diesem Forum nicht löschen.
Du kannst an Umfragen in diesem Forum nicht teilnehmen.
Du kannst Dateien in diesem Forum nicht hochladen.
Du kannst Dateien in diesem Forum nicht herunterladen.

 

Alle Zeiten sind GMT + 2 Stunden (Sommerzeit)
Aktuelles Datum und Uhrzeit: 04.04.2020, 20:27
Nach oben
Valid HTML 4.01 Transitional
Valid CSS!
Software based on work from the phpBB-Group  •  Deutsche Übersetzung von phpBB.de

netcup - Internetdienstleistungen
 
 
[ happytec.at | forum.happytec.at | blog.happytec.at | esports.happytec.at | event.happytec.at ]