Kritik an (Daten-)Sicherheit von klamm.de

[klamm]

Der Bug jetzt ... ich schau den Rest schon durch.
Aber das sind >1000 Files und das dauert seine Zeit.

 

[DelphiKing]

Ich überlebs auch auf nem "unsicheren" klamm.de ... eh alles Fakedaten

PS: ICQ? :]

 

[Syka]

Also ich find das nicht so tragisch das bei so einer riesigen Internetseite , Sicherheitslücken sind .


Sogar eBay hat massig Sicherheitslücken.


Aber LUkas hat sich was beim Programmieren schon was gedacht

Die Cookies sind auch ziemloich komplex gemacht worden , wenn ich mich nicht täusche hat Klamm.de eine eigene verschlüsselung und nicht wie die meißten md5 oder so .


Hab zwar auch mal eine Sicherheitslücke gefunden aber ich habe sie mit einem Kumpel ausprobiert die kann man nicht wirklich ausnutzen ...


Man ist zwar eingeloggt kann aber keine Transaktionen etc vornehmen..

 

[tedlemegba]

Also ich find das nicht so tragisch das bei so einer riesigen Internetseite , Sicherheitslücken sind .

Sogar eBay hat massig Sicherheitslücken.

Eine riesige Internetseite sollte aber erst recht darauf schauen, da ihr eine Menge Menschen vertrauen (sollen/können/müssen). Welche Sicherheitslücken hat(te) eBay denn? Da gibt's aber mindestens eine Hand voll Leute, die sich darum kümmert (sind auch andere Dimensionen).

Aber LUkas hat sich was beim Programmieren schon was gedacht

Wie/was?

Die Cookies sind auch ziemloich komplex gemacht worden , wenn ich mich nicht täusche hat Klamm.de eine eigene verschlüsselung und nicht wie die meißten md5 oder so .

Sorry, aber auch das musst du erklären. Wie kann man Cookies ziemlich komplex machen? Eine eigene "Verschlüsselung"? Wo? Glaube ich eher nicht! Wie kommste drauf?

Hab zwar auch mal eine Sicherheitslücke gefunden aber ich habe sie mit einem Kumpel ausprobiert die kann man nicht wirklich ausnutzen ...

Na ja.. ist die Frage, ob ihr beide da die richtigen sind, die sich da auskennen.

Man ist zwar eingeloggt kann aber keine Transaktionen etc vornehmen..

?


Nicht gegen dich btw!

 

[Syka]

Eine riesige Internetseite sollte aber erst recht darauf schauen, da ihr eine Menge Menschen vertrauen (sollen/können/müssen). Welche Sicherheitslücken hat(te) eBay denn? Da gibt's aber mindestens eine Hand voll Leute, die sich darum kümmert (sind auch andere Dimensionen).

nuya ich habe mich ne Zeitlang mit sowas beschäftigt und habe selber ( eine sehr einfache Lücke gefunden , sogar Youtube etc .....

Wie/was?

sry ist falsch rübergekommen sollte heißen das sich Lukas bei der Programmierung schon sich Sorgen gemacht hat bzg. der Sicherheit

Sorry, aber auch das musst du erklären. Wie kann man Cookies ziemlich komplex machen? Eine eigene "Verschlüsselung"? Wo? Glaube ich eher nicht! Wie kommste drauf?

Die meißten Seiten Seiten , Scripte etc. speichern das Passwort in md5 im Cookie .... Guck dir mal den Cookie an findest du einen md5 (und sonstige) hash der mit deinem Passwort übereinstimmt ? ;

Na ja.. ist die Frage, ob ihr beide da die richtigen sind, die sich da auskennen.

...

?

Also ich habe ne Sicherheitslücke gefunden indem ich die Cookies von User klauen könnte ... da ich beim Cookie keinen md5 hash etc. Cracken konnte habe ich versucht via Cookie Faking reinzukommen ( also im Account vom Kumpel mit erlaubnis ^^)

War eingeloggt konnte jedoch gar nichts machen ...

 

[raven]

Das, was du im zweiten Abschnitt des Cookies siehst, nennt man BASE64. Dekodiert man diesen String, kommt das Passwort im Plaintext raus.
Weiß aber jeder, der sich auch nur annähernd mit Programmierung beschäftigt hat, wenn du mich fragst - sorry

 

[Syka]

Das, was du im zweiten Abschnitt des Cookies siehst, nennt man BASE64. Dekodiert man diesen String, kommt das Passwort im Plaintext raus.
Weiß aber jeder, der sich auch nur annähernd mit Programmierung beschäftigt hat, wenn du mich fragst - sorry

mhh kannst mir wenigstens den namen vom Cookie sagen damit ich weiß welchen du meinst ?

ich habe einen String in Base64 decodieren lassen die ersten zahlen waren meine ID un der Rest war nur müll

 

[raven]

mhh kannst mir wenigstens den namen vom Cookie sagen damit ich weiß welchen du meinst ?

ich habe einen String in Base64 decodieren lassen die ersten zahlen waren meine ID un der Rest war nur müll

Falsch. Der Rest war BASE64
Ich rede vom Cookie "kuser"

raven

Edit: Du solltest darauf achten, es sind mehrere BASE64-Strings aneinandergekettet, seperiert mit |

 

[Syka]

kurz edit

 

[BestEN]

Ohhh ahhhh!

Das hätte ich nicht gedacht, ich bin wirklich etwas erschüttert oder ist das hier ein bissel übertrieben dargestellt?

 

[Bububoomt]

@raven, guck doch beim nächsten mal wieviel lose es gibt
Hatte dir mal ne PN geschickt wegen Sicherheitslücken suchen (bei mir), hatte aber keine Antwort bekommen

 

[Querulant]

@raven, guck doch beim nächsten mal wieviel lose es gibt
Hatte dir mal ne PN geschickt wegen Sicherheitslücken suchen (bei mir), hatte aber keine Antwort bekommen

Der Raven ist auch hoch ebschäftigt immoment^^, der soll auch noch bei mir vorbei schauen das ist wichtig für ihn^^

wenn ich mich nicht täusche hat Klamm.de eine eigene verschlüsselung und nicht wie die meißten md5 oder so .

ne hat Klamm nciht die sind net verschlüsselt

 

[Banane]

Huj, habe diesen Thread erst jetzt entdeckt.

Interessant finde ich, dass dieser Thread nicht ins Kontakt-zu-Admins-Forum verschoben wurde, so wie einst mein Thread zu einer Sicherheitslücke (gut, ich war auch so "böse" öffentlich darüber zu posten, bevor die Sicherheitslücke gefixt war und ich habe mir sogar erlaubt die Sicherheitslücke auszunützen, so dass manche dann den gleichen Avatar wie ich hatten )

 

[Querulant]

Hallo,
ob ein Zusammenhang mit den "Bugs" und diesem thread besteht:

https://www.klamm.de/forum/showthread.php?t=116469

?

Vor allem der Satz:

"Wir wissen nicht, wie der "Hacker" an die Passworte kam. Es sind Accounts dabei, die zum Teil seit Monaten inaktiv sind."

Will nichts unterstellen, sondern ist nur eine Idee ob das damit zusammen hängt.

lg Andre

 

[klamm]

Will nichts unterstellen, sondern ist nur eine Idee ob das damit zusammen hängt.

ne das hängt nicht damit zusammen

 

[Querulant]

OK, war auch nicht bös gmeint oder so, aber hätte ja sein können...

Lg Andre