Sicherheitslücke in pSys 0.3.0 alpha

[tomku]

Original von Christoph Jeschke

Auf unseren Webseiten benutzen wir grundsätzlich zwei voneinander unabhängige Log-Scripte. Dadurch haben wir schon so manchen Eindringling erkannt bevor der richtig zuschlagen konnte.[/quote]
Das interessiert mich: Wie genau macht ihr das? Habt ihr ein IDS?
[/quote]
Zum Einen haben wir ein ursprünglich simples Counterscript im Einsatz, welches fast unsichtbar ist und dazu kein IDS sondern ein IPS. Dieses kann nicht nur Angriffe erkennen, sondern auch abwehren, zB. durch Veränderung des Datenverkehrs.

Zum Einen haben wir ein ursprünglich simples Counterscript im Einsatz, welches fast unsichtbar ist[/quote]
Auch wenn es hier langsam ot ist: Kannst du das näher beschreiben?

und dazu kein IDS sondern ein IPS. Dieses kann nicht nur Angriffe erkennen, sondern auch abwehren, zB. durch Veränderung des Datenverkehrs.[/quote]
Kann man sich das irgendwo anschauen? Welche Seite betreibst du/ihr?

Interessanterweise reicht es, wenn der Angreifer die UIN eines Nutzers herausbekommt um sich anmelden zu können, wenn das Opfer die Login-Speichern-Funktion verwendet hat.
Siehe https://storage.cj-soft.de/powie/pforum/loginkey/\" rel=\"external nofollow\">https://storage.cj-soft.de/powie/pforum/loginkey/ - hier für das Pforum. Man sollte die Funktion aus dem Quellcode entfernen, da sie inhärent unsicher ist. In Kombination mit einem SQL-Injection-Selekt ist die UIN einfach herauszubekommen.

[Powie]

Original von Christoph Jeschke Interessanterweise reicht es, wenn der Angreifer die UIN eines Nutzers herausbekommt um sich anmelden zu können, wenn das Opfer die Login-Speichern-Funktion verwendet hat.
Siehe https://storage.cj-soft.de/powie/pforum/loginkey/\" rel=\"external nofollow\">https://storage.cj-soft.de/powie/pforum/loginkey/ - hier für das Pforum. Man sollte die Funktion aus dem Quellcode entfernen, da sie inhärent unsicher ist. In Kombination mit einem SQL-Injection-Selekt ist die UIN einfach herauszubekommen.
[/quote]
OK, angenommen man würde die UIN nicht mehr benutzen, mit welcher Methode sollte man dies dann bewerkstelligen....

OK, angenommen man würde die UIN nicht mehr benutzen, mit welcher Methode sollte man dies dann bewerkstelligen....[/quote]
Es gibt keine Methode dies sicher zu bewerkstelligen. Man könnte aber dafür sorgen, dass man nicht vollständig über die Login-Speichern-Funktion authentifiziert ist. Schau dir z.B. Amazon an: Man wird dort zwar über einen Cookie identifiziert, muss sich aber bei kritischeren Operationen als einfachen Suchen (und den Empfehlungen) erneut authentifizieren. Die Login-Speichern-Funktion hier bietet aber Zugriff auf alle Funktionen.