Hilfe - Hacker am Werk!!

Beitrag von **Christian_W** » 27.05.2004 13:24

larsneo hat geschrieben:
Deshalb sind seit phpBB 2.0.8 ja nur noch 'richtige' Bilder erlaubt.
...ob dafür aber eine regexp ausreicht (insbesondere beim einsatz von mod_rewrite auf dem server) sei einmal dahingestellt

Auch wieder wahr.
Bei dem Beispiel

Code: Alles auswählen

[img]http://www.url.com/phpbb2/login.php?logout=true&s=.gif[/img]

reicht das aber würde ich meinen. (Ich kenne mich damit auch nicht so besonders gut aus) Ist bei 'besseren' Angriffen das dann nicht auch vom Browser abhängig? Je nach dem was der mit einem Script bzw. einer URL macht die er als Bild untergeschoben bekommt?

Gruß Christian

günni · Beitrag von **günni** » 28.05.2004 12:05

Habe noch mal mit dem Bekannten gesprochen.

Man könnte sogar die einzelnen Boards löschen.

Zum Beispiel:

http://URI/phpbb2/admin/admin_forums.ph ... onfirm=yes

Der letzte Parameter gibt direkt die Antwort auf die Sicherheitsabfrage.

f=1 steht für das Forum mit der ID 1.

Es besteht außerdem noch die Möglichkeit andere User zu Admins und Mods zu machen.

Beitrag von **itst** » 28.05.2004 12:15

Ja echt? Wie soll das denn gehen?

Tuxman · Beitrag von **Tuxman** » 28.05.2004 12:23

günni hat geschrieben:Man könnte sogar die einzelnen Boards löschen.

Zum Beispiel:

http://URI/phpbb2/admin/admin_forums.ph ... onfirm=yes

Jo, mit Administrator-Passwort kein Problem - nur ohne...

günni · Beitrag von **günni** » 28.05.2004 21:01

Wenn aber jemand diesen Code in seine Signatur hinein setzt, so führt sich der Code bei mir als Admin aus, sobald ich diesen Beitrag lese.

Tuxman · Beitrag von **Tuxman** » 28.05.2004 21:14

Dann mach PHP in der Signatur aus...

Beitrag von **itst** » 28.05.2004 21:16

günni hat geschrieben:Wenn aber jemand diesen Code in seine Signatur hinein setzt, so führt sich der Code bei mir als Admin aus, sobald ich diesen Beitrag lese.

Nein.

günni · Beitrag von **günni** » 29.05.2004 00:08

@itst: Habe es gerade getestet. Du hast recht. Weshalb geht das denn nicht. Sind die Adminseiten nochmal extra geschützt?
Liegt das an der
sid=................

Beitrag von **itst** » 29.05.2004 00:16

Weil Du a) als Admin eingeloggt sein musst und b) seit 2.0.8 eine gültige Session-ID in der URL haben musst.

RubberDuck · Beitrag von **RubberDuck** » 29.05.2004 00:35

itst hat geschrieben:Weil Du a) als Admin eingeloggt sein musst und b) seit 2.0.8 eine gültige Session-ID in der URL haben musst.

Und c) jeder eigentlich seinen Adminbereich mit einer weiteren Passwortabfrage schützt