[Erledigt] !!!Wichtig!!! Fremdzugriff?

Thomas32 · 26.09.2008, 15:34

[MOD: bitte keine Ursprungsthreads abändern. Wiederhergestellt]

Hi!

Ich hab einen Onlineshop, heute waren aber um 12.00 alle Zahlungen plötzlich bestätigt, ich hab am Anfang nen Scriptfehler vermutet, sicherheitshalber jedoch das pw umgestellt.

Jetzt wurden nochmal ein paar Zahlungen bestätigt, woraufhin ich fürs erste das ganze Adminteil mal rausgelöscht hab.

Interessanterweise sind (nur für diese eine Domain) auf keine Access-logs nach dem 9.Sept. verfügbar.

Also falls das ein Hacker war:
Welche Rechte braucht er um das machen zu können?
(Admin-Zugangspasswort stand im Klartext in der PHP-Login-Datei, ähnlich dem SELFHTML Sessionbassierten Loginsystem.
Ohne FTP-Zugriff kann er ja keine Access-logs löschen, oder?

Welche Möglichkeiten gibts sonst, was kann ich machen um das in Zukunft zu verhindern?

Vielen Dank
Thomas

HStev · 26.09.2008, 21:12

zb. SQL-Injection – Wikipedia, Session Hijacking – Wikipedia

Wenn du wirklich sicher sein willst das deine Seite Safe ist kauf dir n Web Security Scanner die kosten allerdings so einiges im 3-4 stelligen Bereich oder beauftrage jemanden der sich damit auskennt deine Seite mal komplett durchzuchecken.

Gewisse Dinge kann man schon durch sehr einfache Handgriffe aushebeln zb. Whitelist aller POST, GET Parameter sowie Prüfung auf richtigen Inhalt zb. durch filter_input. Ein escapen aller Sonderzeichen sollte zudem SQL Injections verhindern zb. mittels mysql_real_escape_string oder aber gleich prepared statements verwenden.

Ist alles grob zusammen gefasst das ganze ist sehr komplex

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Sind HTML Codes von Umlauten (ö = ö) noch wichtig?	DonTermi	HTML, Usability und Barrierefreiheit	3	26.05.2006 13:34
Formular, wie wichtig ist die Überprüfung?	danysahne333	PHP Tipps 2006	14	15.05.2006 21:19
Wichtig bitte um Hilfe		HTML, Usability und Barrierefreiheit	11	09.11.2005 20:27
Wichtig => GB selber gebastelt: Nur ein Problem: rewind()	Chrisber	PHP Tipps 2005-2	14	28.09.2005 07:04
[Erledigt] MySQL - Tabelle - Typ wichtig? (VARCHAR, TEXT)		Datenbanken	9	15.07.2005 00:09
wichtig: dbname_conn();		PHP Tipps 2005-2	7	28.06.2005 10:31
Suche Hinweis! Jeder Tip ist wichtig	kanti	Beitragsarchiv	8	02.05.2005 22:25
!!!WICHTIG!!! verschiedenes		Off-Topic Diskussionen	8	30.12.2004 00:16
[Erledigt] GAAAAAAAAAAANZ wichtig		PHP Tipps 2004-2	22	03.12.2004 13:20
fehler bei der index datei ! wichtig !		PHP Tipps 2004-2	1	30.11.2004 09:11
Informationen -> wichtig :)	Skazi	PHP Tipps 2004	2	19.10.2004 17:10
SQL Abfrage WICHTIG !!!		Datenbanken	9	14.07.2004 16:28
Zufallszahlen falsch Wichtig		PHP Tipps 2004	2	09.07.2004 12:59

26.09.2008, 15:34
Thomas32 Neuer Benutzer Registriert seit: 22.09.2008 Beiträge: 10	[Erledigt] !!!Wichtig!!! Fremdzugriff? [MOD: bitte keine Ursprungsthreads abändern. Wiederhergestellt] Hi! Ich hab einen Onlineshop, heute waren aber um 12.00 alle Zahlungen plötzlich bestätigt, ich hab am Anfang nen Scriptfehler vermutet, sicherheitshalber jedoch das pw umgestellt. Jetzt wurden nochmal ein paar Zahlungen bestätigt, woraufhin ich fürs erste das ganze Adminteil mal rausgelöscht hab. Interessanterweise sind (nur für diese eine Domain) auf keine Access-logs nach dem 9.Sept. verfügbar. Also falls das ein Hacker war: Welche Rechte braucht er um das machen zu können? (Admin-Zugangspasswort stand im Klartext in der PHP-Login-Datei, ähnlich dem SELFHTML Sessionbassierten Loginsystem. Ohne FTP-Zugriff kann er ja keine Access-logs löschen, oder? Welche Möglichkeiten gibts sonst, was kann ich machen um das in Zukunft zu verhindern? Vielen Dank Thomas Geändert von nikosch (26.09.2008 um 21:17 Uhr).


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

26.09.2008, 21:12
HStev Erfahrener Benutzer Registriert seit: 25.04.2005 Beiträge: 1.356	zb. SQL-Injection – Wikipedia, Session Hijacking – Wikipedia Wenn du wirklich sicher sein willst das deine Seite Safe ist kauf dir n Web Security Scanner die kosten allerdings so einiges im 3-4 stelligen Bereich oder beauftrage jemanden der sich damit auskennt deine Seite mal komplett durchzuchecken. Gewisse Dinge kann man schon durch sehr einfache Handgriffe aushebeln zb. Whitelist aller POST, GET Parameter sowie Prüfung auf richtigen Inhalt zb. durch filter_input. Ein escapen aller Sonderzeichen sollte zudem SQL Injections verhindern zb. mittels mysql_real_escape_string oder aber gleich prepared statements verwenden. Ist alles grob zusammen gefasst das ganze ist sehr komplex __________________ Gewisse Dinge behält man besser für sich, z.B. das man gewisse Dinge für sich behält.