ich mag hacker sehr, sehr gerne...
- Ersteller antiheld2000
- Erstellt am
Albu
New member
Ich sehe Hacker als diejenigen, die in Systeme eindringen, aber es nicht ausnutzen. Cracker gehen weiter. Hier waren Cracker am Werk. Die beiden Begriffe werden immer wieder gleichbedeutend verwendet, obwohl beide Gruppen schon allein durch ihre Zielsetzung zu unterscheiden sind.
Ein Defacement ist in etwa vergleichbar mit einem Graffiti, welches an eine Hauswand oder Brücke gesprayed wird. Das Argument, daß der Defacer erst in ein System eindringen muß, um sein "Graffiti" zu hinterlassen, kann nicht gewertet werden, denn der Sprayer muß ja unter Umständen auch ein fremdes Grundstück betreten.
Sicherheitsexperten fallen auch nicht vom Himmel, irgendwo müssen sie ihr Wissen herhaben, wie sie es einsetzen ist dann natürlich eine Frage der persönlichen Einstellung, und des Umfeldes. Der Grat zwischen Hacker und Cracker ist haarscharf und oft bewegt man sich trotz guter Absichten mit einem Fuß im Kittchen. Aber Verbotenes zieht Leute ja bekanntlich an....
zu Kimble: Der ist kein Hacker, der hat sich nur den Ruf eines solchen angedichtet (wie so vieles andere).
Zum Tut: Es gab immer Hacker und Cracker, und es wird immer Hacker und Cracker geben. Egal was man auch tut, oder welche Gesetze man erläßt.
Man sollte wissen, daß es sie gibt und man sollte wissen, wie man sich vor ihnen schützen kann. Denn eins ist klar: Hacker und Cracker finden einen Weg, wenn der Ansporn groß genug ist.
Bei ihrem Mass-Defacement haben sich die Kiddies vermutlich extra Seiten ausgesucht, die möglichst einfach zu knacken sind, wie eben die Fickverbot Seite. Vielleicht haben die sich sogar ein Tool gebastelt, in welches sie nur noch die URL eintragen müssen.
Im Nachhinein ist man immer schlauer, aber speziell an einer Stelle an der unkontrollierbare Dateien per include eingebunden werden, wäre defensives Programmieren angesagt gewesen.
Ein Defacement ist in etwa vergleichbar mit einem Graffiti, welches an eine Hauswand oder Brücke gesprayed wird. Das Argument, daß der Defacer erst in ein System eindringen muß, um sein "Graffiti" zu hinterlassen, kann nicht gewertet werden, denn der Sprayer muß ja unter Umständen auch ein fremdes Grundstück betreten.
Sicherheitsexperten fallen auch nicht vom Himmel, irgendwo müssen sie ihr Wissen herhaben, wie sie es einsetzen ist dann natürlich eine Frage der persönlichen Einstellung, und des Umfeldes. Der Grat zwischen Hacker und Cracker ist haarscharf und oft bewegt man sich trotz guter Absichten mit einem Fuß im Kittchen. Aber Verbotenes zieht Leute ja bekanntlich an....
zu Kimble: Der ist kein Hacker, der hat sich nur den Ruf eines solchen angedichtet (wie so vieles andere).
Zum Tut: Es gab immer Hacker und Cracker, und es wird immer Hacker und Cracker geben. Egal was man auch tut, oder welche Gesetze man erläßt.
Man sollte wissen, daß es sie gibt und man sollte wissen, wie man sich vor ihnen schützen kann. Denn eins ist klar: Hacker und Cracker finden einen Weg, wenn der Ansporn groß genug ist.
Bei ihrem Mass-Defacement haben sich die Kiddies vermutlich extra Seiten ausgesucht, die möglichst einfach zu knacken sind, wie eben die Fickverbot Seite. Vielleicht haben die sich sogar ein Tool gebastelt, in welches sie nur noch die URL eintragen müssen.
Im Nachhinein ist man immer schlauer, aber speziell an einer Stelle an der unkontrollierbare Dateien per include eingebunden werden, wäre defensives Programmieren angesagt gewesen.
antiheld2000
New member
btw: hab mittlerweile dann doch mal die zeit gefunden, die seite, nach meinem wissen, etwas abzusichern. fällt jmd ein weiteres sicherheitsloch auf?
jonas_kl
Lounge-Member
Hallo zusammen!
Ich dachte zwar erst, ich mische mich nicht in die Disskusion ein, aber nun muss ich doch mal eine Frage loswerden:
Ich bin "Webmaster" einer Seite auf die ca. 100-200 Leute im Monat kommen. Hauptsächlich sind Bilder von und mit unserer Clique zu sehen. Zum Teil auch pw-geschützt. Die Sprache ist PHP (natürlich auch unter Verwendung von include();-Befehlen) und nun würde mich mal interessieren, was an der Fickverbot-Seite unsicher includet war, um selbige Folgen zu vermeiden (Ist zwar sicherlich unwarscheinlicher, aber man weiß ja nie!).
Also ich wäre auf jeden Fall FÜR ein Tut zum Thema "better save than sorry"!
Jonas
Ich dachte zwar erst, ich mische mich nicht in die Disskusion ein, aber nun muss ich doch mal eine Frage loswerden:
Ich bin "Webmaster" einer Seite auf die ca. 100-200 Leute im Monat kommen. Hauptsächlich sind Bilder von und mit unserer Clique zu sehen. Zum Teil auch pw-geschützt. Die Sprache ist PHP (natürlich auch unter Verwendung von include();-Befehlen) und nun würde mich mal interessieren, was an der Fickverbot-Seite unsicher includet war, um selbige Folgen zu vermeiden (Ist zwar sicherlich unwarscheinlicher, aber man weiß ja nie!).
Also ich wäre auf jeden Fall FÜR ein Tut zum Thema "better save than sorry"!
Jonas
Albu
New member
Hier ein kurzes include Tut:
1. Benutze starre include / require Befehle!
2. Wenn ein starrer include / require nicht möglich ist:
a) Definiere eine Positivliste, in der alle erlaubten includes stehen und lasse nur diese zu!
b) Schränke den Wertebereich so weit wie möglich ein!
c) Traue keiner Variable die vom User kommt oder kommen kann!
3. Sperre Verzeichnisse, die lediglich eingebundene Dateien enthalten per htaccess!
1. Benutze starre include / require Befehle!
2. Wenn ein starrer include / require nicht möglich ist:
a) Definiere eine Positivliste, in der alle erlaubten includes stehen und lasse nur diese zu!
b) Schränke den Wertebereich so weit wie möglich ein!
c) Traue keiner Variable die vom User kommt oder kommen kann!
3. Sperre Verzeichnisse, die lediglich eingebundene Dateien enthalten per htaccess!
bine
Lounge-Member
eben eben das war ja wohl auch ZeitGeist's Idee.
Es gibt wahrscheinlich allein in diesem Forum Einige die das interessiert. Vor allem so aufbereitet, das auch ein Anfänger wie ich das versteht. Ich fang z.B. grad erst mit dem Thema an und würde wohl in alle Fallen hineinfallen, die sich da auftun.
Hat denn Keiner Lust oder Zeit so eine Security-Tut zu machen? Ich glaub das käme im Netz gut an. Na ja vielleicht greift es ja auch Jemand für sich auf ohne das es hier im Sande verläuft.
Es gibt wahrscheinlich allein in diesem Forum Einige die das interessiert. Vor allem so aufbereitet, das auch ein Anfänger wie ich das versteht. Ich fang z.B. grad erst mit dem Thema an und würde wohl in alle Fallen hineinfallen, die sich da auftun.
Hat denn Keiner Lust oder Zeit so eine Security-Tut zu machen? Ich glaub das käme im Netz gut an. Na ja vielleicht greift es ja auch Jemand für sich auf ohne das es hier im Sande verläuft.
Was man als weitere Sicherheitsfunktion verwenden kann, zumindest, wenn PHP im Spiel ist, ist folgender Codeschnipsel, oder eine Auswahl davon.
Diesen verwendet man, beim Auswerten von Formularen.
Dadurch ist man zu 99,9999% sicher, das ein schädlicher Code, wie er vor allem gerne in Textareas oder langen Textfeldern eingegeben wird, unschädlich wird.
Einzig das " habe ich noch nie getestet, obs funktioniert.
Ich hoffe ich konnte euch etwas weiterhelfen.
Diesen verwendet man, beim Auswerten von Formularen.
PHP:
$variable = str_replace("(", "(", $variable);
$variable = str_replace(")", ")", $variable);
$variable = str_replace("<", "<", $variable);
$variable = str_replace(">", ">", $variable);
$variable = str_replace("$", "$", $variable);
$variable = str_replace("\"", ""e;", $variable);//ungetestet, nach Kasimirs Angabe geändertDadurch ist man zu 99,9999% sicher, das ein schädlicher Code, wie er vor allem gerne in Textareas oder langen Textfeldern eingegeben wird, unschädlich wird.
Einzig das " habe ich noch nie getestet, obs funktioniert.
Ich hoffe ich konnte euch etwas weiterhelfen.
Zuletzt bearbeitet:
rasputin
Lounge-Member
...oder man verwendet die schon vorhandene funktion htmlspecialchars()
@rasputin: Kann man natürlich auch, aber es werden nur die Zeichen </>/&/"/' ersetzt.
Ohne diese Zeichen kann ich aber trotzdem noch gefährlichen PHP-Code ausführen.
[EDIT]
Sofern das Skript so programmiert ist, dass ich nicht einmal
<?php und ?>
eingeben muss.
[/EDIT]
Ohne diese Zeichen kann ich aber trotzdem noch gefährlichen PHP-Code ausführen.
[EDIT]
Sofern das Skript so programmiert ist, dass ich nicht einmal
<?php und ?>
eingeben muss.
[/EDIT]
Zuletzt bearbeitet:
Albu
New member
jetzt hat es auch http://www.actionscript.org/ erwischt