Wer hat denn da geplaudert?

[Supreme]

Woher weiß man so genau das ILIKE verwendet wird und Passwörter direkt gespeichert werden? Und wie kommt der CCC überhaupt erst darauf das bei so einem unbekannten Dienst zu versuchen?

Das lässt doch eher die Vermutung afkommen als ob es da hinweise von internen gab. Und die Sicherheitslücken waren dann Chef-Anweisung um den Dienst für die Kundschaft geschmeidiger zu machen, was dem Entwickler aber nicht gepasst hat :)

[LordPinhead]

Vielleicht durch SQL Injection?

Ich weiß ja nicht was für eine Datenbank dahintersteckt, aber bei Oracle kann ich sogenannte PSQL Anweisungen in der DB Speichern und über meine Software direkt ansprechen... und auch auslesen. An sich lagere ich einfach Programmcode in die Datenbank aus und das kann jeder einsehen da der Code ja nicht unbedingt geparsed oder Übersetzt wurde in Bytecode.

Oder die Jungs haben das Adminkennwort mit einer FTP Anmeldung oder WebDAV versucht und hatten erfolg. Oder es ist wie bei Blizzards WoW Anmeldung, da zählt auch keine Groß und Kleinschreibung. Die Passwort "qwertZ" und "qwertz" sind mittels ilike gleich, von daher könnte man das auch erraten.

[LordPinhead]

Nachtrag:

PLSQLŽs heißen in Mysql nur Stored Procedures und machen das selbe, also wäre es möglich via SQL Injection auch diese Prozeduren anzuzeigen.

Und ich hab mich vertippt seh ich gerade, da fehlt ein L bei PLSQL in meinen vorherigen Post ;)

[Supreme]

LordPinhead schrieb:
--------------------------------------------------------------------------------
> Vielleicht durch SQL Injection?
>
> Ich weiß ja nicht was für eine Datenbank dahintersteckt, aber bei Oracle
> kann ich sogenannte PSQL Anweisungen in der DB Speichern und über meine
> Software direkt ansprechen... und auch auslesen. An sich lagere ich einfach
> Programmcode in die Datenbank aus und das kann jeder einsehen da der Code
> ja nicht unbedingt geparsed oder Übersetzt wurde in Bytecode.

Klar, das geht durchaus, aber dürfte für jemanden der so grundlegende Fehler begeht eigentlich zu Fortgeschritten sein.

> Oder die Jungs haben das Adminkennwort mit einer FTP Anmeldung oder WebDAV
> versucht und hatten erfolg.

Ja, denkbar. Wäre dann aber noch arm^h^h^h^h^h^peinlicher.

> Oder es ist wie bei Blizzards WoW Anmeldung, da
> zählt auch keine Groß und Kleinschreibung. Die Passwort "qwertZ" und
> "qwertz" sind mittels ilike gleich, von daher könnte man das auch erraten.

Blizzard wird hier aber so kompetent sein einfach alle Passwörter *vorher* umzuwandeln und dann den Hash der kleingeschriebenen Wörter vergleichen.

[spYro_]

Bei solchen krassen Sicherheitslücken würde es mich nicht wundern, wenn Fehlermeldungen nicht abgefangen werden und dadurch bei bestimmten provozierten Fehlern SQLCode-Schnippsel auf die Oberfläche durchblubbern.

MFG
spYro_