hacken
Pagina: « vorige 1 2 3 volgende »
Het is niet voor niets de 1 van de bekendste manieren.
Ja inderdaad, maar ik had niet verwacht dat je echt de hele database zou te zien krijgen. Wel maf :)
Waar dacht jij dan aan?
Stel op een pagina staan foto's uit de database... ik had dan verwacht dat je alleen de fototabel zou zien, maar niet gelijk de hele database.
Aaah, ik snap je gedachte gang. Je ziet dat je dus best wel goed moet beveiligen omdat je veel met SQL injectie kan. Daarom is het testen van je website met die tool zo nu en dan een goed idee.
Ja, inderdaad... op 1 klein plekje een mogelijkheid tot SQL injectie betekent dus dat je complete site gevaar loopt.
@Ozzie je kan zelfs bij sommige websites switchen van database. Het ergste geval wat ik ooit heb meegemaakt is dat als ik wist waar de bestanden zaten dat ik deze kon uitlezen. 1 functie (mysql_real_escape_string) en je beveiligd de website tegen SQL-injections.
Oke... of PDO met prepared statements gebruiken.
Stel ik maak een kopie van een login portaal en die bevindt zich op wolf.nl. De hele website inclusief stijling kopieer ik en maak een domein aan vvolf.nl (<- LET OP, dubbel v vervangen ipv een w zie je bijna niet in je browser).
Vervolgens stuur ik een aantal mensen uit het bedrijf een e-mail met het verzoek even in te loggen of het werkt. Niet eens iets te veranderen of wat dan ook en in de e-mail (html-based) vervang ik de link van wolf.nl/login naar vvolf.nl/login (hyperlink). Niet iedereen zou hier natuurlijk op reageren maar in een bedrijf vanaf 60 medewerkers is er vast wel iemand zo gek.
Op het moment dat iemand zijn gegevens invult en op login klikt stuur je de persoon naar de oorspronkelijke website en laat hem die submitten. Niemand zal merken dat je ondertussen de gegevens in je database hebt staan waarmee jij kan inloggen. De website wolf.nl controleert dan niet of het ingevulde formulier vanaf de website wolf is verstuurd.
Het is een net iets andere manier van hacken. Je bereikt er vaak hetzelfde doel mee: toegang verschaffen tot een plaats waar je niet hoort te komen. Dit is overigens ook wat gebeurd als je ingaat op de phising mails van ING etc.
Toepasselijk?! :P
Filmpje blendTV over DDoS bij ING en Rabo
Gewijzigd op 10/04/2013 19:24:59 door Bas IJzelendoorn
En ze krijgen geen waarschuwing, behalve dat sommige browser waarschuwen als een $_POST naar een andere browser wordt verstuurd (zoals Opera).
Nu kan je dat wel omzeilen met PHP (cURL en header() etc), maar toch.
Waar kun je eigenlijk zoal die gegevens doorverkopen? Lijkt me niet dat, stel Facebook zomaar op marktplaats een advertentie zet...
@Bas: Ah oke... en hoe voorkom je dat voorbeeld met zo'n login dan?
Zoiets heet toch phising?
Toevoeging op 11/04/2013 09:42:50:
Ozzie PHP op 10/04/2013 20:12:47:
@Bas: Ah oke... en hoe voorkom je dat voorbeeld met zo'n login dan?
Zo zal ik het doen: je zet gewoon in een sessie dit bijv: $_SESSION['good_form'] = true;
En die sessie controleer je dan weer op de andere pagina.
Gewijzigd op 11/04/2013 09:43:34 door Koen Hollander
Normaal submit je op de phising site en dan wordt alleen de username/password doorgestuurd. De foutafhandeling komt dus dan pas op jou website aanbod. Op moment dat je controleert op de afkomst waarvan het formulier wordt verstuurd, dek je je in.
@Koen:
Dat klopt, omdat ik hierbij nadrukkelijk het voorbeeld geef van een phising, waarbij ik mensen lok. Het hacken is het vervolg dat ik de gegevens ga gebruiken en wordt het interresant.Want het is zo dat de inlogformulieren van een website/portaal altijd heel goed beveiligd zijn. Maar eenmaal binnen krijg je vaak te horen:
We vertrouwen de mensen die ons portaal/website gebruiken. Daarom hebben we geen hoge kosten gestoken in het beveiligen van de achterliggende pagina's.
Denk maar eens aan een intranet. Vertrouwelijke informatie voor enkel medewerkers. Na dat je username/password hebt, in bent gelogd en dan een SQL-injectie doet in het formuliertje van de agenda of wat dan ook. Over het algemeen succes verzekerd. Bedrijven vertrouwen hun medewerkers en verwachten niet dat zoiets zo snel zullen doen. Tot dat jij langs komt die dat wel wilt gaan doen en geen medewerker bent.
En wat als je nu op de nep site een iframe maakt naar de echte site? dan zul je die session toch hebben?
ook meschien iframe en zo tegengaan.
Sorry voor mijn late reactie, maar kan je die bovenstaande vraag misschien wat beter formuleren? Ik kan er niet zo veel van maken.
Koen Hollander op 10/04/2013 14:26:53:
Ik kan het niet laten om mijn kennis/mening met jullie te delen omdat ik ook kan hacken, en ik deed het met de zelfde motieven als mijn collega's.
Motief:
Je bent afgewezen voor een functie op een forum/website/noem maar op. Je wilt wraak nemen, je gaat dus kijken of je binnen kan dringen. Als dat kan zoeken ze de wachtwoorden op en indien mogelijk gaan ze het door een soort tool halen waardoor het wachtwoord zichtbaar is. Er blijven veel mensen die een makkelijk wachtwoord kiezen die dus zichtbaar zal zijn voor die tool. Op deze manier kunnen ze dus het wachtwoord van de Administrator zien en inloggen op dat account.
[..]
Motief:
Je bent afgewezen voor een functie op een forum/website/noem maar op. Je wilt wraak nemen, je gaat dus kijken of je binnen kan dringen. Als dat kan zoeken ze de wachtwoorden op en indien mogelijk gaan ze het door een soort tool halen waardoor het wachtwoord zichtbaar is. Er blijven veel mensen die een makkelijk wachtwoord kiezen die dus zichtbaar zal zijn voor die tool. Op deze manier kunnen ze dus het wachtwoord van de Administrator zien en inloggen op dat account.
[..]
Koen Hollander op 10/04/2013 14:39:42:
Ja dat is me 2 keer gelukt :), maar daarna ook meteen verteld.
Ozzie PHP op 10/04/2013 14:33:53:
@Koen: Heb jij zelf wel eens succesvol een site gehackt Koen? Ik ben trouwens meer benieuwd waarom de grote jongens het doen, dus niet naar persoonlijke "wraakacties".
Ja dat is me 2 keer gelukt :), maar daarna ook meteen verteld.
Koen Hollander op 10/04/2013 14:43:43:
Met SQL injectie in een programma (Havij) keek ik in de users tabel en toen stond dat wachtwoord daar(Onbeveiligd=Ongecodeerd)
Toevoeging op 10/04/2013 14:44:37:
Ozzie PHP op 10/04/2013 14:42:33:
Wat bedoel je met dat hij een onbeveiligd wachtwoord heeft? En hoe ben jij dan achter dat wachtwoord gekomen?
Met SQL injectie in een programma (Havij) keek ik in de users tabel en toen stond dat wachtwoord daar(Onbeveiligd=Ongecodeerd)
Toevoeging op 10/04/2013 14:44:37:
Quote:
Wie doet het daar niet om?Ze doen het ook om het geld
Hm, sorry Koen, maar als ik dit zo lees ben je eerder een noob/beginneling dan een échte hacker. Iedereen kan met Havij een website scannen op SQL-injecties, maar beheers jij de theorie én de praktijk daarachter? Waarschijnlijk niet, tot nauwelijks. Dus dat jij er vanuit gaat dat je voor een groot deel van jouw "collega's" kan inschatten wat hun redenen zijn, dat klopt. Jouw "collega's" zijn zo'n 80% van wat jij omschrijft als hackers: noobs/beginners dus. Zonder programma's niet kunnen hacken == websites bouwen met een sitebuilder en jezelf een webdeveloper noemen..
De redenen dat hackers hacken is verschillend, net zoals dat er verschillende soorten hacks zijn en verschillende soorten hackers. Om te oefenen, uit verveling, uit wraak, puur voor een adrenalineshot, voor de eer en respect, in opdracht voor geld, om voor een vriend op te komen of om achter de waarheid te komen zijn een aantal redenen :-)
Edit:
Link naar een ander topic over het tegengaan van SQL-injecties weggehaald
Gewijzigd op 01/08/2013 16:21:37 door Chris -
- http://www.phphulp.nl/php/forum/topic/sql-injectie/80411/
- http://www.phphulp.nl/php/forum/topic/sql-injectie/71236/
- http://www.phphulp.nl/php/forum/topic/veilig-stukje-anti-sql-injectie/77097/
- http://www.phphulp.nl/php/forum/topic/sql-injectie-vraag/73957/
- http://www.phphulp.nl/php/forum/topic/vraag-over-sqlinjectie-veilige-getwaarde/73074/
- http://www.phphulp.nl/php/forum/topic/vraag-over-sqlinjectie-veilige-getwaarde/73074/
- http://www.phphulp.nl/php/forum/topic/2008-jaar-van-de-sqlinjecties/61150/
- http://www.phphulp.nl/php/forum/topic/sql-injection-mogelijk/26333/
- http://www.phphulp.nl/php/forum/topic/script-open-voor-sql-injectie/45851/
- http://www.phphulp.nl/php/forum/topic/sprintf-sql-injectie/43613/
- http://www.phphulp.nl/php/forum/topic/form-beveiligen-tegen-sqlinjection/18520/
- http://www.phphulp.nl/php/forum/topic/sql-injections/43520/
- http://www.phphulp.nl/php/forum/topic/sql-injections/43520/
Chris, reageren op een oud topic is prima, maar niet als het uitsluitend is bedoeld om je nieuwe product te promoten. Dan ben je niet helemaal zuiver bezig wat mij betreft.
Edit:
Overigens Wouter, een simpel priveberichtje had wonderen gedaan ;-)
Gewijzigd op 01/08/2013 16:22:44 door Chris -