Website gehackt! Gat in website ?

donderdag 6 juli 2006 20:26

In index.php staat ergens include($_GET['p']) zonder enige vorm van controle over wat $_GET['p'] mag zijn. Zolang je je niet in PHP verdiept en zulke fouten maakt, kun je beter statische pagina's gebruiken.

Acties:

BHQ

Lijkt me eerder dat hun servers überleaky zijn, maargoed

donderdag 6 juli 2006 20:27

Acties:

thaan

Je pagina systeem is niet veilig, zou je je index.php hier even kunnen plaatsen?

donderdag 6 juli 2006 20:27

Acties:

Snake

Los Angeles, CA, USA

Laat eens wat code zien van je index.php?

Going for adventure, lots of sun and a convertible! | GMT-8

donderdag 6 juli 2006 20:31

Acties:

Quadro!

http://www.devshed.com/c/a/PHP/PHP-Security-Mistakes/

Je include in je index.php namelijk zonder te controleren de variable "p". Dit is voor jou natuurlijk gewoon de pagina of zo, maar iemand anders kan hier dus gewoon een extern script / whatever via jou host te laten lopen.

[ Voor 64% gewijzigd door Quadro! op 06-07-2006 20:35 ]

donderdag 6 juli 2006 20:31

Acties:

MeNTaL_TO

The future is not set

want het dataverkeer dat ontstond loopt in de terrabytes.

Hoelang heeft het geduurd voordat ze hier achter kwamen en moet je per GB bij betalen

Wenn ist das Nunstruck git und Slotermeyer? Ja!... Beiherhund das Oder die Flipperwaldt gersput! The Hornets of Hades have descended upon me

donderdag 6 juli 2006 20:32

Acties:

donderdag 6 juli 2006 20:35

Topicstarter

LET OP !! IK HEB DE CODE EVEN OPNIEUW GEPLAATST (hij is nu wat korter en overzichtelijker)

code:

<?

include "include/function.php";



if(!empty($_POST["mailit"])) {



    stuurMail($_POST["naam"] . " <" . $_POST["email"] . ">", "Een bericht van de website", $_POST["bericht"]);

}



if (empty($_GET["p"])) {

    

    $_GET["p"] = "welkom";

    

}

?>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"

"http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<title>Kraanbediening.nl</title>

<link rel="shortcut icon" type="image/ico" href="Images/favicon.ico" />

<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">

<link href="css/default.css" rel="stylesheet" type="text/css">

<script language="Javascript1.2"><!-- // load htmlarea

_editor_url = "./editor/";                     // URL to htmlarea files

var win_ie_ver = parseFloat(navigator.appVersion.split("MSIE")[1]);

if (navigator.userAgent.indexOf('Mac')        >= 0) { win_ie_ver = 0; }

if (navigator.userAgent.indexOf('Windows CE') >= 0) { win_ie_ver = 0; }

if (navigator.userAgent.indexOf('Opera')      >= 0) { win_ie_ver = 0; }

if (win_ie_ver >= 5.5) {

  document.write('<scr' + 'ipt src="' +_editor_url+ 'editor.js"');

  document.write(' language="Javascript1.2"></scr' + 'ipt>');  

} else { document.write('<scr'+'ipt>function editor_generate() { return false; }</scr'+'ipt>'); }

// --></script>

</head>

<body>

<table width="702" border="0" align="center" cellpadding="0" cellspacing="0"> 

  <tr> 

    <td class="container"><table width="700" border="0" align="center" cellpadding="0" cellspacing="0"> 

        <tr> 

          <td class="header"><div align="right">
            <table width="195" height="25" border="0" align="right" cellpadding="0" cellspacing="0">
              <tr>
                <td><div align="center"><a href="index.php">[img]"Images/nl.gif"[/img]</a></div></td>
                <td><div align="center"><a href="de/index.php">[img]"Images/de.gif"[/img]</a></div></td>
                <td><div align="center"><a href="fr/index.php">[img]"Images/fr.gif"[/img]</a></div></td>
                <td><div align="center"><a href="eng/index.php">[img]"Images/gb.gif"[/img]</a></div></td>
              </tr>
            </table>
          </div></td> 

        </tr> 

        <tr> 

          <td class="menuback"><table width="400" border="0" align="center"> 

              <tr> 

                <td class="menutop"><div align="center"><a href="?informatie">Home</a></div></td> 

                <td class="menutop"><div align="center"><a href="?p=informatie">Informatie</a></div></td> 

                <td class="menutop"><div align="center"><a href="?p=gallery">Gallerij</a></div></td> 

                <td class="menutop"><div align="center"><a href="?p=contact">Contact</a></div></td> 

              </tr> 

            </table></td> 

        </tr> 

        <tr> 

          <td class="redwhite">&nbsp;</td> 

        </tr> 

        <tr> 

          <td class="location"><div align="center"><? echo strtoupper($_GET["p"]); ?></div></td> 

        </tr> 

        <tr> 

          <td class="bodyBack"> <div align="center"> 

              <? 

        /*

        * Hier volgen de include bestanden

        * 

        */

        

        include $_GET["p"] . ".inc.php";

        ?> 

            </div></td> 

        </tr> 

        <tr> 

          <td><table width="100%"  border="0" cellspacing="0" cellpadding="0"> 

              <tr> 

                <td width="83%" nowrap class="location">Kraanbediening.nl</td> 

                <td width="17%" nowrap class="location">Copyright&copy; 2005</td> 

              </tr> 

            </table></td> 

        </tr> 

      </table></td> 

  </tr> 

</table> 

</body>

</html>

[ Voor 80% gewijzigd door Tranzy op 06-07-2006 20:43 ]

Ik heb ook een leuke computer..

Acties:

donderdag 6 juli 2006 20:35

Kruimeltjes zijn weer op :9

Regel 279 heeft geen enkele check en zorgt er voor dat alle bestanden zo ongeveer uitgevoerd kunnen worden?

[ Voor 9% gewijzigd door gorgi_19 op 06-07-2006 20:35 ]

Digitaal onderwijsmateriaal, leermateriaal voor hbo

Acties:

donderdag 6 juli 2006 20:36

Topicstarter

Sorry voor de grote code.

Maar ik heb het gemaakt voor mijn schoonvader. Verder niets meer mee gedaan.

Ik heb ook een leuke computer..

Acties:

Snake

Los Angeles, CA, USA

je controleerd niet of de pagina $_GET['p'] bestaat, je kan zo iedere pagina includen

Going for adventure, lots of sun and a convertible! | GMT-8

donderdag 6 juli 2006 20:41

Acties:

donderdag 6 juli 2006 20:41

Topicstarter

Hmm. En ik was nog zo trots op mijzelf ... 'My first (php) website' $_/-\o_$
En ook nog in meerder talen !

Maar wat zou ik moeten veranderen volgens jullie ?

Ik heb ook een leuke computer..

Acties:

donderdag 6 juli 2006 20:42

Kruimeltjes zijn weer op :9

Tranzy schreef op donderdag 06 juli 2006 @ 20:41:
Maar wat zou ik moeten veranderen volgens jullie ?

Doe eens een gok, wat denk je zelf?

Digitaal onderwijsmateriaal, leermateriaal voor hbo

Acties:

donderdag 6 juli 2006 20:51

Tranzy schreef op donderdag 06 juli 2006 @ 20:41:
Hmm. En ik was nog zo trots op mijzelf ... 'My first (php) website' $_/-\o_$
En ook nog in meerder talen !

Maar wat zou ik moeten veranderen volgens jullie ?

Een goed begin zou zijn om het aantal lege regels eens te reduceren. Daarna kun je kijken op de eerder gegeven pagina.

Acties:

donderdag 6 juli 2006 20:52

Kruimeltjes zijn weer op :9

Tranzy schreef op donderdag 06 juli 2006 @ 20:49:
Ik heb van iemand doorgekregen dat ik bij regel 140 dit moet zetten
code:
1
2
3
4
5
if (preg_match ("/[a-z]+/i", $_GET["p"])) {

include $_GET["p"] . ".inc.php";
    
}
hij roept dus de verschillende pagina's op nl.
contact.inc.php
gallery.inc.php
informatie.inc.php
sent.inc.php
welkom.inc.php

zo heb ik deze ook in andere talen.

Waarom zet je deze dan niet in een array neer en controleer je expliciet of het gevraagde bestand in de array zit?

Digitaal onderwijsmateriaal, leermateriaal voor hbo

Acties:

Nulnulnix

BOFH

Geachte heer/mevrouw,

Wij hebben helaas moeten constateren dat via uw website hackers erin geslaagd zijn om een illegale IRC bot op te zetten. Wij hebben daarom uw website uitgezet, want het dataverkeer dat ontstond loopt in de terrabytes.

Dit lijkt al verdacht veel op een hack. Terrabytes? Een ISP behoort al te weten det het TERAbytes is. (Terra = aarde

)
Daarnaast is het m.i. meer de taak van de provider om e.e.a. na te gaan.
Hoe wil een "leek" die een leuke pagina heeft gebouwd dat nagaan? Die heeft nog geen eens de kennis in huis! Ik ben van beroep systeembeheerder en ook ik zou het niet of nauwelijks kunnen, dus hoe een huis-tuin en keuken gebruiker dan wel???
Daarnaast laten hackers informatie achter. Met gespecialiseerde programmatuur is dat te achterhalen.
M.i. behoort dat niet tot de taak van een "gebruiker".

U kunt nog wel emailen en met ftp uw website aanpassen, wij verzoeken u het te onderzoeken hoe het kan dat men via index.php bash commando's konden uitvoeren en verzoeken u uw webscripts te beveiligen. Zodra dat gelukt is wordt uw website uiteraard weer aangezet.

Die comma hoort hier niet (geen enkele logica met de regel die volgt (wij....). Het moet dus een punt zijn!
Het enige wat ik me kan voorstellen is dat men jouw wachtwoord heeft achterhaald en een nieuwe index.php heeft geupload (of een backdoor hiervoor heeft gebruikt).
Ook het bericht vertrouw ik dus niet...

We have just one world, but we live in different ones...

donderdag 6 juli 2006 20:53

Acties:

BCC

Dit
include $_GET["p"] . ".inc.php";
in combinatie met een slecht geconfigureerde webserver zorgt ervoor dat je willekeurige code kan uitvoeren op de server. In dit geval werden er bestanden in de /tmp/.debug/ gezet welke waarschijnlijk enthousiast door een boel mensen gedownload zijn.

Het simpelste is een array met legale modules op te nemen en met inArray te checken of p hierin voorkomt. Zo ja -> doe p, zo nee, p="welkom". Verder zou ik de site door iemand laten nakijken die er verstand van heeft, want als er dit soort gaten in zitten

Na betaling van een licentievergoeding van €1.000 verkrijgen bedrijven het recht om deze post te gebruiken voor het trainen van artificiële intelligentiesystemen.

donderdag 6 juli 2006 20:53

Acties:

mcdronkz

Ik stel voor dat je even naar http://www.php.net/file_exists kijkt

donderdag 6 juli 2006 20:53

Acties:

Verwijderd

PHP:

1	include("http://jouwwebsite.nl/".$_GET['p'].".inc.php");

Dit is een makkelijke (en redelijk veilige) manier om dit tegen te gaan, wat je natuurlijk ook kunt doen is een switch statement gebruiken of de paginas die toegestaan zijn via de database aanroepen.

Maar deze bovenste code zorgt er voor dat mensen niet meer bestanden van andere websites kunnen includen.

Ook handig om file_exists te gebruiken (zie de post van mcdronkz)

Zie ook http://phpfreakz.nl/artikelen.php?aid=106&page=1 voor meer info over beveiliging

[ Voor 27% gewijzigd door Verwijderd op 06-07-2006 20:57 ]

donderdag 6 juli 2006 20:54

Acties:

Reinstein

Half-Nul

Quadropluxor schreef op donderdag 06 juli 2006 @ 20:31:
http://www.devshed.com/c/a/PHP/PHP-Security-Mistakes/

Je include in je index.php namelijk zonder te controleren de variable "p". Dit is voor jou natuurlijk gewoon de pagina of zo, maar iemand anders kan hier dus gewoon een extern script / whatever via jou host te laten lopen.

Deze meneer/mevrouw heeft ene link gepost, moet je dat article maar eens lezen, wat jij gedaan hebt wordt daar beschreven. Er staat ook een oplossing bij overigens.

Open source modeltrein besturings software

donderdag 6 juli 2006 20:56

Acties:

donderdag 6 juli 2006 20:57

Verwijderd schreef op donderdag 06 juli 2006 @ 20:53:
PHP:
1
include("http://jouwwebsite.nl/".$_GET['p'].".inc.php");
Dit is een makkelijke (en redelijk veilige) manier om dit tegen te gaan, wat je natuurlijk ook kunt doen is een switch statement gebruiken of de paginas die toegestaan zijn via de database aanroepen.

Makkelijk misschien wel, maar dit kost je een extra Apache request per include. Erg zonde van de resources, en nog traag ook.

Acties:

donderdag 6 juli 2006 20:59

Kruimeltjes zijn weer op :9

Nulnulnix schreef op donderdag 06 juli 2006 @ 20:52:
Dit lijkt al verdacht veel op een hack. Terrabytes? Een ISP behoort al te weten det het TERAbytes is. (Terra = aarde )
Daarnaast is het m.i. meer de taak van de provider om e.e.a. na te gaan.

Een hoster hoort na te gaan of een site gehacked is?

Iemand is imho zelf verantwoordelijk voor het downloaden / maken van brakke scripts.

Digitaal onderwijsmateriaal, leermateriaal voor hbo

Acties:

Verwijderd

GlowMouse schreef op donderdag 06 juli 2006 @ 20:56:
[...]

Makkelijk misschien wel, maar dit kost je een extra Apache request per include. Erg zonde van de resources, en nog traag ook.

Ja klopt, maar het is ieder geval veel beter als wat hij eerst had.

Het beste is nog een switch of een database gebruiken voor je bestanden, ik betwijfel alleen of de TS snapt hoe dat werkt, daarom gaf ik hem een makkelijk voorbeeld.

donderdag 6 juli 2006 21:00

Acties:

Snake

Los Angeles, CA, USA

PHP:

<?
    include "include/function.php";
    if(!empty($_POST["mailit"]))
    {
        stuurMail($_POST["naam"] . " <" . $_POST["email"] . ">", "Een bericht van de website", $_POST["bericht"]);
    }
}

?>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
    <head>
        <title>Kraanbediening.nl</title>
        <link rel="shortcut icon" type="image/ico" href="Images/favicon.ico" />
        <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
        <link href="css/default.css" rel="stylesheet" type="text/css">
        <script language="Javascript1.2"><!-- // load htmlarea
            _editor_url = "./editor/";                     // URL to htmlarea files
                var win_ie_ver = parseFloat(navigator.appVersion.split("MSIE")[1]);
            if (navigator.userAgent.indexOf('Mac')        >= 0) { win_ie_ver = 0; }
            if (navigator.userAgent.indexOf('Windows CE') >= 0) { win_ie_ver = 0; }
            if (navigator.userAgent.indexOf('Opera')      >= 0) { win_ie_ver = 0; }
            if (win_ie_ver >= 5.5)
            {
                document.write('<scr' + 'ipt src="' +_editor_url+ 'editor.js"');
                document.write(' language="Javascript1.2"></scr' + 'ipt>');  
            }
            else
            {
                document.write('<scr'+'ipt>function editor_generate() { return false;} </scr'+'ipt>');
            }
            // --></script>
    </head>
    <body>
        <table width="702" border="0" align="center" cellpadding="0" cellspacing="0"> 
            <tr> 
                <td class="container">
                    <table width="700" border="0" align="center" cellpadding="0" cellspacing="0"> 
                        <tr> 
                            <td class="header">
                                <div align="right">
                                    <table width="195" height="25" border="0" align="right" cellpadding="0" cellspacing="0">
                                        <tr>
                                            <td><div align="center"><a href="index.php">[img]"Images/nl.gif"[/img]</a></div></td>
                                            <td><div align="center"><a href="de/index.php">[img]"Images/de.gif"[/img]</a></div></td>
                                            <td><div align="center"><a href="fr/index.php">[img]"Images/fr.gif"[/img]</a></div></td>
                                            <td><div align="center"><a href="eng/index.php">[img]"Images/gb.gif"[/img]</a></div></td>
                                        </tr>
                                    </table>
                                </div>
                            </td> 
                        </tr>
                        <tr> 
                            <td class="menuback">
                                <table width="400" border="0" align="center"> 
                                    <tr> 
                                        <td class="menutop"><div align="center"><a href="?informatie">Home</a></div></td> 
                                        <td class="menutop"><div align="center"><a href="?p=informatie">Informatie</a></div></td> 
                                        <td class="menutop"><div align="center"><a href="?p=gallery">Gallerij</a></div></td> 
                                        <td class="menutop"><div align="center"><a href="?p=contact">Contact</a></div></td> 
                                    </tr> 
                                </table>
                            </td> 
                        </tr>
                        <tr> 
                            <td class="redwhite">&nbsp;</td> 
                        </tr> 
                            <tr> 
                            <td class="location">
                                <div align="center">
                                    <? echo strtoupper(isset($_GET["p"])?"welkom":$_GET['p']); ?>
                                </div>
                            </td> 
                        </tr> 
                        <tr> 
                            <td class="bodyBack">
                                <div align="center"> 
<? 
switch(isset($_GET['p'])?"welkom":$_GET['p'])
{
    case "informatie";  include ("informatie.inc.php");     break;
    case "gallery";         include("gallery.inc.php");         break;
    case "contact";     include("contact.inc.php");     break;
}
?> 
                                </div>
                            </td> 
                        </tr> 
                        <tr> 
                            <td>
                                <table width="100%"  border="0" cellspacing="0" cellpadding="0"> 
                                    <tr>
                                        <td width="83%" nowrap class="location">Kraanbediening.nl</td> 
                                        <td width="17%" nowrap class="location">Copyright&copy; 2005</td> 
                                    </tr> 
                                </table>
                            </td> 
                        </tr> 
                    </table>
                </td> 
            </tr> 
        </table> 
    </body>
</html>

Going for adventure, lots of sun and a convertible! | GMT-8

donderdag 6 juli 2006 21:02

Acties:

donderdag 6 juli 2006 21:04

Topicstarter

Ik was even aan het lezen ... maar nogmaals ik ben nog lerende en was toendertijd lekker enthousiast met boekje en pdfjes aan het knutselen. Ben inmiddels vader geworden en heb met de drukte het wat laten liggen met het idee van ik pak het wel weer een keer op. Maar nu komt er binnenkort een tweeling aan en zie dat niet snel gebeuren

Ik heb ook een leuke computer..

Acties:

donderdag 6 juli 2006 21:08

Kruimeltjes zijn weer op :9

Tranzy schreef op donderdag 06 juli 2006 @ 21:02:
Ik was even aan het lezen ... maar nogmaals ik ben nog lerende en was toendertijd lekker enthousiast met boekje en pdfjes aan het knutselen. Ben inmiddels vader geworden en heb met de drukte het wat laten liggen met het idee van ik pak het wel weer een keer op. Maar nu komt er binnenkort een tweeling aan en zie dat niet snel gebeuren

nofi, maar dit soort geintjes zal met veel geluk geaccepteerd worden door je hoster; zij zitten door jouw brakke scripts met een schadepost voor het dataverkeer

Het is dan veiliger om de boel offline te halen, of desnoods tijdelijk lokaal, dan zo

[ Voor 7% gewijzigd door gorgi_19 op 06-07-2006 21:05 ]

Digitaal onderwijsmateriaal, leermateriaal voor hbo

Acties:

Reinstein

Half-Nul

GlowMouse schreef op donderdag 06 juli 2006 @ 20:56:
[...]

Makkelijk misschien wel, maar dit kost je een extra Apache request per include. Erg zonde van de resources, en nog traag ook.

Dat werkt niet hoor, want als je via http een php script opvraag wordt dat eerst geparsed voor dat het opgestuurd word, ook als is het lokaal.

Wat deze hacker doet is, het bestand een andere extensie geven zodat het rechtstreeks over gaat.

En dan kan het idd geinclude worden.

Open source modeltrein besturings software

donderdag 6 juli 2006 21:11

Acties:

donderdag 6 juli 2006 21:28

Topicstarter

code:

if (file_exists($_GET["p"] . "inc.php")) {
{

  include_once ($_GET["p"] . "inc.php");
    
}

Wat ik verder niet snap.... Hoe kunnen zij mijn code aanpassen zonder over de juiste gegevens te beschikken ?

[ Voor 45% gewijzigd door Tranzy op 06-07-2006 21:21 ]

Ik heb ook een leuke computer..

Acties: