PW ändern

Tja, da ich nicht bei den ComNews posten kann und der einzig andere Thread dazu geschlossen wurde (dank Knuckles) - und auch die Suchfunktion keinen DRITTEN Thread an den Tag brachte (so wie Knuckles es geschrieben hatte ...) bleibt mir wohl nix anderes übrig als einen neuen Thread zu eröffnen. Folgender Fall:
Ich wurde gestern augefordert mein PW zu ändern - nicht weiter schlimm wenn heute nicht die Meldung gekommen wäre: "Dein Passwort ist 1 Tage alt, bitte änderes es." 0_o

Soll ich jetzt jeden Tag mein Passwort ändern oder was geht jetzt?

das forum wird angegriffen von hacker(n).

Sie knacken dein passwort und posten dann,mich zu bannen.
Dieser Teabing hat sich entschuldigt,weil er angst hatte,ich könnte ihn bannen oder so XD

Trotzdem müssen wir vorsichtig sein und so müssen wir immer unser pw gut geschützt haben :)

Zitat:

---

Zitat von Louzifer

Soll ich jetzt jeden Tag mein Passwort ändern oder was geht jetzt?

---

Ja.
So wie ich das verstanden habe, soll dies dazu führen, dass auch die Leute, die gestern nicht eingeloggt waren, ihre PWs ändern.

Keine Sorge: Lange werden wir diese PW-Änderung nicht machen. Auch den Admins gehen irgendwann die PWs aus. ;)

@ Byder: Die blauen Sterne stehen dir. §list

1.
Ich wurde nicht nur gestern, sondern auch hezte dazu saufgefordert mein PW zu ändern
Gestern hieß es das alte sei seit 1.307 Tagen nicht verändert worden und ich müßte es tun.
Okay (habe dann dasselbe genommen, ging auch)

2.
Heute wurde ich wieder dazu aufgefordert (nicht 1307, sondern 1 Tag)

Kommt das jetzt jeden Tag ?

Zitat:

---

Zitat von Frieden

2.
Heute wurde ich wieder dazu aufgefordert (nicht 1307, sondern 1 Tag)

Kommt das jetzt jeden Tag ?

---

http://www.multimediaxis.de/showthread.php?t=61702

Also so langsam habe ich das Gefühl das es wieder eine Verarsche ist nur um Byders Theorie zu verstärken, dass er Moderator sein soll und das Leute ihn bannen wollen. :D

Zitat:

---

Zitat von Spliffy

Also so langsam habe ich das Gefühl das es wieder eine Verarsche ist nur um Byders Theorie zu verstärken, dass er Moderator sein soll und das Leute ihn bannen wollen. :D

---

es ist etwas da draußen mulder


ja, ich glaube auch mittlerweile dass des so ziemlich alles gefaked ist, ich möchte auf ostern
verweisen wo hier die merkwürdigsten streitereien und modernennungen auftauchten.
es ist aber wie immer sehr überzeugend rübergebracht, und die pw-geschichte lässt das
ganze noch seriöser erscheinen, nicht schlecht. ;)

Wie oft wollt ihr eigentlich noch hören, dass der Hacker echt war ? Ich würde mal bezweifeln, dass Leute wie Marlex ihren Account für sowas hergeben würden und die Sache mit dem Passwort ändern nervt die Admins doch genauso. Wieso sollten sie das dann machen ?

Zitat:

---

Zitat von Soheil

Keine Sorge: Lange werden wir diese PW-Änderung nicht machen. Auch den Admins gehen irgendwann die PWs aus. ;)

---

darauf würd ich aber nicht wetten, dass uns die pw ausgehen. :D

ich selbst benutz ja immer das hier:
http://www.security-gui.de/pwdgen.php


hab es aber trotzdem für alle geändert, so dass nicht mehr täglich geändert werden muss.
ich kann also die letzte frage im eröffnungspost mit nein beantworten.

Zitat:

---

Zitat von Eisbaer

Wie oft wollt ihr eigentlich noch hören, dass der Hacker echt war ? Ich würde mal bezweifeln, dass Leute wie Marlex ihren Account für sowas hergeben würden und die Sache mit dem Passwort ändern nervt die Admins doch genauso. Wieso sollten sie das dann machen ?

---

Um bisschen äktschen in das Forum zu bringen?

Zitat:

---

Zitat von Laguna the Immortal

es ist etwas da draußen mulder


ja, ich glaube auch mittlerweile dass des so ziemlich alles gefaked ist, ich möchte auf ostern
verweisen wo hier die merkwürdigsten streitereien und modernennungen auftauchten.
es ist aber wie immer sehr überzeugend rübergebracht, und die pw-geschichte lässt das
ganze noch seriöser erscheinen, nicht schlecht. ;)

---

Okay...wir haben den Wink verstanden.
Im nächsten Jahr werden wir zum 1.April einen Scherz veranstalten, der euch weniger traumatisiert, damit er uns wieder Glauben schenken könnt. :D

Ihr Säcke -_-

Wisst ihr was ich komisch finde ?
Folgendes :

Wenn es wirklich ein Hacker war dann hätte er doch rein teoretisch eine lücke in Vb ausgenutz.Wenn ich eine sollche lücke fände würde ich sie doch dazu benutzen die PWDs Mods zu klauen und das PWD des FTP Acc. um eine Fake Edit PWD datei zu erstellen die das alte PWD an mich sended.

In dem sinn habe ich nix geändert finde es nur komisch das so viele etwas geändert haben den wenn es ein Hacker war und der an das PWD rangekommen ist dann müsste er doch ebenso leicht an das FTP PWD kommen ;)

alles in allem Klingt es etwas komisch , naja mein PWD habe ich nicht geändert ist immernoch mein altes aus guten grund (hat sich schonmal wer ein Kryptisches PWD neu gemerckt ?)

Zitat:

---

Zitat von Dante

Ihr Säcke -_-

---

Hey Dantelein Soheil hat noch gar nichts zugegeben...obwohl ich auch nich mehr so ganz weiß was ich glauben soll....

hmm....übrigens...Teebing is immer noch nich gebanned und der Sonderrang macht mich ebenfalls immer noch stutzig......naja

@dadie: in IRC ham se spekuliert das er irgendwo auf ner externen Seite nen Cookiecacher oder so hatte und diese Seite in nem Thread verlinkt hat...ausserdemn soll er kein Hacker sondern nur ein Scriptkiddie sein

edit: @Trial: thx

@Xell, lies mal zwischen den Zeilen ;)
btw, gratz zum schicksten Sonderrang aller Zeiten :)

Zitat:

---

Zitat von Xelll

[...]
edit: oah hab 666 nen Sonderrang.....juhu...will mich ma wer knipsen....

---

Schon passiert:D

Zitat:

---

Zitat von Dante

@Xell, lies mal zwischen den Zeilen ;)
btw, gratz zum schicksten Sonderrang aller Zeiten :)

---

^^thx^^

Ähm mann muss aber schon schwer zwischen den Zeilen lesen und um die Ecke deuten....aber nee nich wirklich ich mags eigentlich nich glauben....man könnte diese Aussage nähmlich auch einfach falsch interpretieren.....verdammt

Zitat:

---

Zitat von Xelll

@dadie: in IRC ham se spekuliert das er irgendwo auf ner externen Seite nen Cookiecacher oder so hatte und diese Seite in nem Thread verlinkt hat...ausserdemn soll er kein Hacker sondern nur ein Scriptkiddie sein

---

ICh bin mir auch nicht mehr so ganz sicher aber man kann keine Cookies auslesen wenn die URL falsch ist.

Mein Cookie z.B. ist auf http://www.multimediaxis.de/ gespeichert.
Würde das gesammte forum nun auf sagen wir :

http://foum.Haswurstbeispiellink111111111111.de/forum/ umgestellt werden kann diese Host meinen Cookie nicht auslesen.

Ein Script kann nur Cookies auslesen die vom Selben Host stammen.Das heisst das Script hätte auf einer seite im rpg-kingdom.de netzwerk sein müssen.

zumindest habe ich es so in erinerung :D

@ dadie:
Der Hacker hat auch St.Inelukis(=Mod) Account gehackt.
Seltsam, dass er das alles bei Makern gemacht hat.

Zitat:

---

Zitat von Dante

@Xell, lies mal zwischen den Zeilen ;)
btw, gratz zum schicksten Sonderrang aller Zeiten :)

---

Oh Mann...dubist ja schneller als meine Ex!
Ich habe zwischen keiner Zeile behauptet, dass dies ein Scherz war.
Wobei ich zugeben muss:
Gestern hatte ich im Internen die Idee geäussert, dass man das alles ja wie ein Scherz "aussehen" lassen könnte. Dann kamen aber die ganzen Posts von den aufgebrachten gehackten Usern, die selbst vermuteten das Opfer eines Scherzes geworden zu sein, und da habe ich die Idee wieder verworfen.
Also wirklich:
Hacks = echt
Byder SMod = denkt euch euren Teil ;)

Zitat:

---

Zitat von Soheil

Okay...wir haben den Wink verstanden.
Im nächsten Jahr werden wir zum 1.April einen Scherz veranstalten, der euch weniger traumatisiert, damit er uns wieder Glauben schenken könnt. :D

---

weniger traumatisiert, als was? als der Osterfake, oder als das hier? ;)
gib zu, es war mißzuverstehen ^^

Zitat:

---

Zitat von Soheil

Oh Mann...dubist ja schneller als meine Ex!

---

war das ein Kompliment? :p

Zitat:

---

Zitat von Soheil

@ dadie:
Der Hacker hat auch St.Inelukis(=Mod) Account gehackt.
Seltsam, dass er das alles bei Makern gemacht hat.

---

Har? Har? Har? Seit wann ist Ranmaru-Kun ein Makerer verdammt? Hab ich was verpasst? Hat Ranmaru das von sich aus gemacht???

Humpf... Ich hasse es verar*cht zu werden òo

*Verschwörungstheorie* Ah das ganze is eine Aktion weil die Maker Armee den Krieg um den Qfrat nicht gewonnen hat und intern Wetten abgeschloßen wurden, das wenn die Maker verlieren ihre Acc für einen Streich benutzt werden dürfen.....und Ranmaru...hatte einfach bock seinen Acc für sowas herzugeben......*Verschwörungstheorie ende*


lol:D

Zitat:

---

Zitat von Soheil

Hacks = echt
Byder SMod = denkt euch euren Teil

---

öhh...auch echt? :confused:

Zitat:

---

Zitat von Xelll

*Verschwörungstheorie* Ah das ganze is eine Aktion weil die Maker Armee den Krieg um den Qfrat nicht gewonnen hat und intern Wetten abgeschloßen wurden, das wenn die Maker verlieren ihre Acc für einen Streich benutzt werden dürfen.....und Ranmaru...hatte einfach bock seinen Acc für sowas herzugeben......*Verschwörungstheorie ende*


lol:D

---

so blöd ist das gar nicht. Die Maker sind zu allem fähig!!!

Zitat:

---

Zitat von Ebb0r

Zitat:

---

Zitat von Xell

*Verschwörungstheorie* Ah das ganze is eine Aktion weil die Maker Armee den Krieg um den Qfrat nicht gewonnen hat und intern Wetten abgeschloßen wurden, das wenn die Maker verlieren ihre Acc für einen Streich benutzt werden dürfen.....und Ranmaru...hatte einfach bock seinen Acc für sowas herzugeben......*Verschwörungstheorie ende*


lol:D

---

so blöd ist das gar nicht. Die Maker sind zu allem fähig!!!

---

Ach was, wir bräuchten bloss ein Paar Items zu nehmen oder Wie?

Zitat:

---

Zitat von Xelll

hmm....übrigens...Teebing is immer noch nich gebanned und der Sonderrang macht mich ebenfalls immer noch stutzig......naja

---

Er ist schon bebanned, nur hat er eben diesen Rang. Kleines Sahnebobon, für diesen Iditoten... Stellt euch doch mal sein Gesicht vor, wenn er merkt, das er nicht nur gebanned ist, sondern auch so einen schmeichelhaften Rang hat. :eek: Ich finds lustig. :p


Irgendwie sind die ganzen: Es war ein Scherz Theorie nicht mehr lustig... oder wird jetzt alles, was gesagt wird gleich als Scherz abgetan? o_O

Zitat:

---

Zitat von Waya Yoshitaka

Irgendwie sind die ganzen: Es war ein Scherz Theorie nicht mehr lustig... oder wird jetzt alles, was gesagt wird gleich als Scherz abgetan? o_O

---

Nicht wirklich aber die Indizien sprechen für den Witz.Nehmen wir das Hacker.
Wenn er ein Hacker währe dann hätte er es doch anderrs gesagt als mit einem Acc.
evtl. hätte er ein neues forum erstell oder als Admin gespotet etz.

Desweiterdem die Script teorie ist soweit ich weiss nicht möglich aus auf einer rpg-kingdom.de domain liegt das Script.

Auserdem waren die "opfer" alle / fast alle maker was eine teorie von Freunde witz zuläst.

Alles in allem Spricht doch alles für einen schlechten witz von Usern bei dem die Admins mitspielen.

oder eine rpg-kingdom.de seite hat ein böses Script auf seiner hp ._.

Zitat:

---

Zitat von dadie

...

---

Schon mal dran gedacht, das es auch dumme Hacker gibt? http://www.multimediaxis.de/images/s.../old/s_010.gif

Zitat:

---

Zitat von Waya Yoshitaka

Irgendwie sind die ganzen: Es war ein Scherz Theorie nicht mehr lustig... oder wird jetzt alles, was gesagt wird gleich als Scherz abgetan? o_O

---

sicher nicht, nur weiß man ja auch nie, was man nun davon glauben soll. Also die Sache mit dem Account-Hack habe ich schon ziemlich ernst genommen, aber als dann die Sache mit Byder als S-Mod losging, hab ich mich wirklich gefragt, ob man uns nicht nur verarschen will....und schon fängt man an, Indizien zu sammeln.....
z.B. solche:

Zitat:

---

Zitat von Waya Yoshitaka

Momentan läuft das Forum noch mit der Forensoftware vBulletin Version 3.0.9. Aktuell ist jedoch die vb 3.5.0 Version. Aus diesem Grund wird das Forum einem Update unterzogen.
Da es sich dabei um einen größeren Vorgang handelt, wird das Forum einige Zeit (ca. 3 bis 9 Stunden) nicht erreichbar sein. Die Rede ist hier vom Freitag (28.10.) Abend-Nacht / Sonntag (30.10.) Vormittag/Mittag.

Als kleinen Ausgleich können wir aber bekannt geben, dass es eine kleine Überraschung geben wird.

siehe auch Ankündigung

---

vorletzter Satz...kleine Überraschung, also außer dieser hier, habe ich bisher noch keine Überraschung erlebt o_O
naja, dann die Sache mit Byder als S-Mod....hmmja, scheint offensichtlich ein Fake zu sein, aber nichts genaues weiß man nicht, weil keiner was sagt, also warum sollte der andere Kram der ja offensichtlich damit zusamen hängt, nicht auch ein Fake sein...
Dann übernimmt ein Admin den Account von Teebeutel um damit ein völlig übertriebene Entschudligung zu posten .... o_O warum???
......gnaaaah :\ ...ich geh meine Urinella wechseln....*durchdreht*

Zitat:

---

Zitat von Dante

vorletzter Satz...kleine Überraschung, also außer dieser hier, habe ich bisher noch keine Überraschung erlebt o_O

---

Gemeint war das Sakuranet Design. :p
Immer diese leidigen Fehlinterprentation. btw. war das Update schon am Fr und nicht gestern. :rolleyes:

Zitat:

---

Zitat von Waya Yoshitaka

Gemeint war das Sakuranet Design. :p
Immer diese leidigen Fehlinterprentation. btw. war das Update schon am Fr und nicht gestern. :rolleyes:

---

hm....aber ich hatte jedenfalls gestern irgendwann mal die Meldung, daß das Forum wegen eines Updates vorübergehend geschlossen wäre, und die Admins einem schönes Halloween wünschen o_O

Zitat:

---

Zitat von Dante

hm....aber ich hatte jedenfalls gestern irgendwann mal die Meldung, daß das Forum wegen eines Updates vorübergehend geschlossen wäre, und die Admins einem schönes Halloween wünschen o_O

---

Das kam von SDS - und sehr richtig, wie ich finde.
Der Hacker schnappte sich immer mehr Accounts und dem mussten wirirgendwie Einhalt gebieten. Also haben die Admins erstmal das Forum still gelegt, damit nicht noch mehr User in Mitleidenschaft gezogen werden. :)

Hmm...ich poste mal diesen Post auch in die ComNews.

@Dadie: Um an den Cookie zu kommen muss das script nicht auf einer rpg-atelier.net domain sein, es kann quasi auf JEDER seite Sein. Ja ich hab mich mal durch den vorfall ein bisserl Infomieren lassen, und so wie es scheint könnte der Cookielogger auf jeder Seite sein, und nicht nur auf rpg-atelier.net.
Wenn du was postest dann bitte nur wenn du wirklich Ahnung hast >__>.

Zitat:

---

Zitat von Chaik

@Dadie: Um an den Cookie zu kommen muss das script nicht auf einer rpg-atelier.net domain sein, es kann quasi auf JEDER seite Sein. Ja ich hab mich mal durch den vorfall ein bisserl Infomieren lassen, und so wie es scheint könnte der Cookielogger auf jeder Seite sein, und nicht nur auf rpg-atelier.net.
Wenn du was postest dann bitte nur wenn du wirklich Ahnung hast >__>.

---

ICh bin Webentwickler und habe knapp 1 Jahr mit Cookies gearbeitet ;)

Ich konnte z.B. einen cooki über localhost beschreiben , diese war aber über 127.0.0.1 nicht ferfügbar.Desweiterem konnte ich den Cooki nicht auf Überordern auslesen.

Wenn ich den Cooki in localhost/XYZ/ speicherte Galt er nur für XYZ und unterordner aber nicht für localhost.

Das ganze kann sich evtl. schon geändert haben da ich es damals mit php 4 so gelernt getestet habe , das bezeifel ich aber.

Edit:

Wer es testen will erstellt eine datei mit der endung .php mit folgenden inhalt :

PHP-Code:

---

<?php
echo "Deine ID ist : ".$_COOKIE["bbuserid"]."<br>" ;
echo "Deine MD5 PWD ist : ".$_COOKIE["bbpassword"]."<br>" ;
?>

---

diese laded ihr auf einen php webhost hoch oder mach einen localserver auf und testet es.
Bei mir gibt er genau das aus :

HTML-Code:

---

Deine ID ist : <br>Deine MD5 PWD ist : <br>

---

edit2:

Es gibt noch anderre Websprachen ja aber zeigt mir eine mit der man fremde Cookies auslesen kann ;)

edit3:

btw. Wie der hacker dann das md5 password entschlüsselt hat möchte ich auch gerne wissen :D

Ich wurde nicht dazu aufgefordert Oo.

Edit: Mir gefällt das Forenupdate übrigens recht gut *lob* ;)

Dadie. Du hast wirklich KEINE AHNUNG.
Schonmal was von Cross-Site Scripting gehört?
Das ermöglicht das Auslesen von Cookies der User indem man sie z.B. dazu bringt auf einen Link zu klicken.
Somit wird der Code innerhalb der Secure-Area des Servers ausgeführt.

Ausserdem, es ist einfach einen MD5-Hash zu "knacken".
Und IIRC reicht es beim vB aus, wenn man die Session-Cookies übernimmt und bei sich reinschreibt, schon ist man drin.

Und du weißt, das Foren-Passwörter != System-Passwörter?
Das Passwort des FTP-Users ist in der /etc/shadow gespeichert, da kommt man garnicht dran wenn man nicht root ist.
Also ist es selbst dann unmöglich, wenn eine Command Execution Lücke im vB bestehen würde, gut, man könnte sich hier natürlich einen Local-Root-Exploit besorgen und diesen dann ausführen, aber das halte ich für unwahrscheinlich da momentan keine Cmd Execs in vB 3.5 bekannt sind. Was sich aber auch leicht behindern lässt indem man den Apache einfach in einem Chroot laufen lässt.
Und wenn das so passiert wäre, wären hier sicher nicht nur ein paar Useraccounts kompromittiert worden.

Alles in allem redest du totalen Schwachsinn, dadie. Informier dich lieber erstmal richtig, versteh es und rede DANN weiter über solche Themen.
Dein dummes Gelaber bringt wirklich garnichts.

- codec

um jemanden zu zitieren :

Zitat:

---

Zitat von Waya Yoshitaka

Schon mal dran gedacht, das es auch dumme Hacker gibt? http://www.multimediaxis.de/images/s.../old/s_010.gif

---

Der dumme hacker kann XSS :D ich lach mich tot klar XSS ist jetzt nicht die Welt aber IMO auch nett auf anhieb gecoded.

Desweiterem bin ich mir von der Diferenzierung zwischen System und Software im klaren doch dieses Programm (Vb) greifft auf eine Datenbank zurück , somit hätte ein Häcker schon 2 Verzeichnisse die er "teilweisse" kontrolliert.Und mein Info. Lehrer sagt mal "reich dem Cracker einen Ordner und er frisst deine platte" und irgentwe glaube ich kaum das er mich belügt.

Desweiterem wenn es wirklich ein XSS war dann müsste es ein Öfentlichen Link gegeben haben , warum so wenniger user ? Den anscheinend muss der link doch im RPG Forum gewessen sein wo doch eigentlich immer eine Menge User on sind ;)

Zitat:

---

Zitat von dadie

um jemanden zu zitieren :
Der dumme hacker kann XSS :D ich lach mich tot klar XSS ist jetzt nicht die Welt aber IMO auch nett auf anhieb gecoded.

Desweiterem bin ich mir von der Diferenzierung zwischen System und Software im klaren doch dieses Programm (Vb) greifft auf eine Datenbank zurück , somit hätte ein Häcker schon 2 Verzeichnisse die er "teilweisse" kontrolliert.Und mein Info. Lehrer sagt mal "reich dem Cracker einen Ordner und er frisst deine platte" und irgentwe glaube ich kaum das er mich belügt.

Desweiterem wenn es wirklich ein XSS war dann müsste es ein Öfentlichen Link gegeben haben , warum so wenniger user ? Den anscheinend muss der link doch im RPG Forum gewessen sein wo doch eigentlich immer eine Menge User on sind ;)

---

Es gibt genügend fertige XSS-Scripte.
Und nur, weil jemand Zugriff auf die Datenbank hat (was er nicht hat, sonst hätte er sich einfach einen Adminaccount gemacht) heisst es nicht das er auch ins System kommt. Denn auch hier werden komplett verschiedene Passwortsysteme genutzt.

Und das mit deinem Lehrer.. schonmal was von Sprichwörtern gehört? Deins ist nämlich ein recht billiger, nicht zutreffender Abklatsch. Ich halte den Kingdom-Server für genügend abgesichert, auch wenn es da ein paar Lücken im System gibt. Die sind nicht einfach auszunutzen.

Und das mit dem Link, dazu reicht auch einfach ein verlinktes Bild aus oder ein Signatur-Bild.

Aber mit dir brauch ich mich da nicht weiter drüber zu unterhalten. Das ist wie wenn ich einem Microsoftie erklären will das der IE Mist ist. Selbst mein Aschenbecher hat mehr IQ.

Cheers,

codec

Zitat:

---

Zitat von dadie

Und mein Info. Lehrer sagt mal "reich dem Cracker einen Ordner und er frisst deine platte" und irgentwe glaube ich kaum das er mich belügt.

---

Mein Dozent für das Softwareprojekt hat gesagt, daß PHP nicht opbjektorientiert ist. Ich glaube nicht, daß er mich belügt. Okay, er hat nie mit PHP gearbeitet, aber er ist mein Dozent, also weiß er zwangsläufig alles über EDV.

Dadie, dein Lehrer ist kein Sicherheitsfachmann und interessiert sich wahrscheinlich nicht mal besonders für das Thema... Ich wage sogar, zu bezweifeln daß er von Unix nennenswert Ahnung hat. Und die ist nötig, um die Auswirkungen eines kompromittierten Prozesses auf einem Unix- oder GNU-Rechner abschätzen zu können.

Mir's laaahm. Wann passiert denn endlich mal was? Gar nie? Auch okay, wir hatten ja alle unseren Spaaass~


Frosch

Ist die Sache mit der Sicherheit, eigentlich schon geklärt? Irgendwie geht die ganze Geschichte den Bach runter...
Ich finde man könnte die Sache mit den PW-Ändern, wieder aus den Forum entfernen.

http://www.multimediaxis.de/showthread.php?t=61762