Dienstag, Juli 11, 2006
"Lass gefälligst Partyguide in Ruhe!"
Da kriege ich doch gerade folgendes Mail rein:
auso sorry, aber du bisch ja äuä dr primitivscht depp wos git uf däre wält.
lass doch mol pg in friede!!!!
danke und gruess
karin
Quelle: Karin S. an Mario Aeby, 11. Juli 2006, 22:04 Uhr (voller Name und E-Mail-Adresse der Redaktion bekannt).
... und entschliesse mich spontan zu einer kleinen Frage-Runde:
Nachtrag
Darf ich darauf hinweisen, dass Mehrfach-Votings nicht toleriert werden - wird sind auch in der Blogosphäre eine Demokratie, sprich: One (Wo)Man, One Vote!
Bisherige Witzbolde:
| http_ip | dns | num_votes |
| 81.63.183.117 | *.stat.fixnetdata.ch | 22 |
| 138.190.15.46 | proxy.swisscom.com | 4 |
| 212.101.19.216 | static-*.adsl.solnet.ch | 4 |
| 146.67.250.181 | not found: 3(NXDOMAIN) | 3 |
Hits von Proxy-Servern (Hier: Swisscom - Torquie?) werde ich wohl nicht mitzählen können ...
Aus dem Abstimmungsstudio ...
Ich werde die Auswertungen dann online stellen, wenn kaum mehr neue Votes hinzukommen (sehr wahrscheinlich nach dem Gurtenfestival am Montag, 17. Juli 2006).
Und ja, ich garantiere Transparenz wie sie bei Partyguide für über 13'000 Passwörter auch galt.
Oh, und wer sich berufen fühlt, kann versuchen, mein Scriptlein zu hacken *smile*
Worum geht's überhaupt?
Auf think eMeidi sind bisher drei Berichte über kritische Schwachstellen der Community-Site Partyguide veröffentlicht worden, die Hackern ohne grossen Aufwand Zugang zu tausenden Benutzerkonten von Partyguide verschafften:
- Der Partyguide-Hack - Cookie-Exploit; Zugang zu jedem beliebigen Account
- Der dritte Partyguide-Hack - SQL-Injection; 13'000 Benutzeraccounts mit schwachen Passwörtern betroffen
- Der vierte Partyguide-Hack - JavaScript-Injection; Partyguide-Blog-Leser mit aktiviertem Autologin betroffen
Labels: Partyguide, Wirtschaft
Abonnieren
Kommentare
neuen Kommentar verfassen
Jaja, das ist wirklich höllen fies, wie du immer auf dem kleinen PG "rumhackst". Er kann schliesslich nichts dafür, dass er kleiner ist. Nämlich! Du Böser!
dazu möchte ich sagen, dass ich NIRGENDS!!!!! geschrieben habe "lass gefälligst Partyguide in Ruhe"
Dieser Titel ist von Dummkopf Aeby selbst erfunden und mir so untergejubelt worden.
Ich habe ganz klar als Betreff "KRITIK AN DICH" geschrieben.
Alles andere ist erfunden und entspricht nicht der Wahrheit.
ja ja.. primitiv, dummkopf... nur weiter so... jetzt driftet das ganze ins persöndliche ab.. sehr schön :-)
Nun möchte ich mich doch auch mal noch dazu äussern. Würde das ganze bei einer grösseren Institution passieren (Bank, Versicherung etc.) gäbe das einen riesen Wirbel. Unter Umständen würde dies das Ende der betroffenen Firma bedeuten. Bei PG wird das ganze einfach unter den Tisch gekehrt, ohne offiziellen Kommentar und ohne die betroffenen Member zu informieren und über das geschehene aufzuklären. Das dabei aber hunderte von Email Konten, MSN Logins, und im schlimsten Fall sogar Bank Passwörter und Userdaten abhanden kommen, und das regelmässig immer wieder, scheint niemanden zu kümmern???
Was Mario hier leistet ist super Arbeit und verdient höchsten Respekt. Denn das bestehen dieser Lücken könnte von anderen zu viel schlimmerem Missbraucht werden und es ist für mich unbegreiflich warum man bei PG nicht schon längst reagiert hat. Man könnte ja wenigstens versuchen diese Löcher von vornherein zu schliessen und nicht erst bei einem Hinweis darauf reagieren. Selbst bei x-tausend Scripten und Zeilen Code ist dies mit einem vernünftigen Aufwand und einigermasen erfahrenen Entwicklern sicher zu bewerkstelligen. Den als Betreiber der Seite weiss man ja wo die zu validierenden Textfelder sind und wo welche Query zusammengesetzt werden, oder sollte man zumindest ;-)
Und das es dabei immer und immer wieder PG trifft liegt wohl daran, dass es einfach das einzige grosse Projekt dieser Art ist, welche solchen massiven Sicherheitsprobleme aufweist und immer wieder aufs neue produziert. Oder gibt es diese Risiken auch bei anderen (Mario?)...
In dem Sinne weiter so. Denn es ist immer einfacher zu kritisieren wenn man von der ganzen Problematik (Technik) nichts versteht und sich keine weiterführenden Gedanken dazu macht.
Gruss Stefan aka Rofus
PS (an Karin): Wenn nun morgen jemand deine Emails liest oder deine MSN Login Informationen hat, und das durch eine Sicherheitslücke bei PG oder wo auch immer, wärst du sicher nicht erfreut ;-)
@Stefan
Grundsätzlich habe ich den Eindruck dass du dich mit Tilllate in falsche Sicherheit wiegst! Der Tag wird kommen, an dem sich jemand (wer ist einmal dahingestellt) an eure Sache ran macht!
@Mario: Zu dir gebe ich kein Komentar ab. Die Diskussion ist klar auf zu tiefem Niveau.
@Stefan: Es ist auch immer einfach, das grosse Maul aufzureissen, aber selber nicht viel besser zu sein! Ich hab bei Tilllate schon diverse Lücken im Code entdeckt. Darunter auch solche die ziemlich Sicherheitsrelevant sind. Jedoch poste ich diese nicht in Foren/Bloggs sondern behalte diese für mich. Also, lieber. Wische zuerst vor deiner eigenen Tür, bevor du bei den andern Anfängst.
Und so wie es aussieht, hast du nicht gerade viel Ahnung von der Materie! --> Also, lass gut sein!
greeeZ
@Stefan
Wieso wird PG immer mit einer Bank verglichen. Wenn jemand für seinen Bankaccount das selbe Passwort wie auf einer Party Seite verwendet kann ihm auch nicht mehr geholfen werden. Zudem ist ein Vergleich mit einer Bankenapplikation etwas weit hergeholt.
Hier werden die Daten bedeutend mehr gesichert, z. Beispiel mit Streichlisten, etc..
(super Arbeit - verdient Respekt) !!
Mario seines Zeichens "webmaster" sollte eigentlich ein wenig mehr Verantwortungs-
bewusstsein haben. Gute Arbeit - ja, wenn er NUR den Betreiber der Seiten informieren würde.
(risiken bei andern...)
mario hat nicht das gringste Interesse an anderen Seiten. Irgendwie scheint sein persönliches
Ego derat angeknackst zu sein, dass er diesen "Kampf" ausschliesslich mit PG austragen möchte.
(Pers. Meinung)
Die Vermutung vertieft sich bei mir immer mehr, dass es sich hier um Neid und Missgunst im Endstadium
handeln muss. Wer sonst kann soviel Zeit investieren um sich den ganzen lieben langen Tag mit Attacken auf eine Partyseite zu beschäftigen. "Normale" Leute müssen arbeiten um sich den Lebensunterhalt zu verdienen. Sind die Stipendien jetzt schon so hoch ?
@Mario
suchst du mit deiner Umfrage neue Freunde. Ich glaub nicht richtig gelesen zu haben:
Du publizierst echt eine Umfrage ob Du weitere "Hacks" starten sollst. Wie krank und naiv bist du eigentlich?
@Anonymous um 10:11 AM Uhr
Wenigstens stehe ich zu meiner persönlichen Meinung und muss mich nicht hinter einem "anonymen" Benutzer verstecken.
In diesem Fall ist was du betreibst weit weniger rühmlich als du denkst. Mario macht wenigstens auf die Lücken aufmerksam und ist so halbwegs in Kontakt mit PG, du behältst sie (anscheinend zum persönlichen Nutzen) für dich... Oder erzähl mal um was für "Lücken" es sich hier handelt oder kontaktiere mich via tilllate, ich bin den ganzen Tag Online ;-) meistens haben solche Sprüche aber einfach keine Substanz.
@Anonymous um 11:18 AM Uhr
Das ist richtig PG ist keine Bank und Streichlisten wären reichlich übertrieben, aber wir beide wissen das ein Grossteil der Benutzer bei diversen Portalen und Internet Aktivitäten dieselben Passwörter benutzt und genau desshalb bedarf es besonderen Schutzes dieser Daten auf Betreiberseite. Es geht ja nicht um den Login sondern das abhanden kommen solcher sensiblen Daten.
Schön, Ziel erreicht, es wird diskutiert.
Ich wollte noch darauf hinweisen, dass Mehrfachvotes nicht gezählt werden.
Wer also 20 Mal innert einer Minute von der gleichen IP aus auf 'Ja, such dir endlich ein richtiges Hobby!' klickt, verliert sein Stimmrecht.
Die Stimmberechtigten, die das Prinzip der Demokratie nicht verstanden haben, sind mit IP-Adresse im Artikel erwähnt.
@Stefan von Anonymous um 11:18 AM Uhr
im Prinzip finde ich die Arbeit von Mario ja auch gut, nur an der Umsetzung der Ergebnisse sollte noch gearbeitet werden. Es kann doch nicht angehen, dass solche Informationen von einem webmaster an die Öffentlichkeit getragen werden. Aber wie bereits erwähnt geht es bei diesen "Hacks" zwischen Mario und PG um viel mehr.
@emeidi
Demokratie - gilt dies auch für "Nein, ohne Partyguide-Hacks ist das Leben todlangweilig!" !!
Woooow! Mario hatt ein neues Hobby gefunden, er kontrolliert nun alle 10 Minuten seine Votingstatistik. Dann, herzliche Gratulation!
@Stefan: Mir ist egal was du über meine Sicherheislücken denkst. Ich weiss wies ist, und was ich weiss.
@Mario: Du bist wohl auch nicht gerade schlau. Die IP mit den 22 Votes ist eine Statische, was bedeuten mag, dass diese wohl auch aus einer Firma kommt ;)
GreeeeZ
Sali!
Super, was hier abläuft. Welch ein Zufall, die Anonymen werden persönlich, die anderen bleiben sachlich. Machen wirs doch gleich: Jason ist ein Blödmann.
Gruess
@Anonymous um 4:02 PM Uhr
Ach so alles klar, in diesem Fall alles nur warme Luft und Wunschdenken deinerseits. Trotzdem danke für die informative Unterhaltung ;-) ich nehme an du hast TL schon lange auf die "angeblichen" Lücken hingewiesen, ansonsten bin ich geneigt dich mit dem aus deiner Sicht "bösartigen und niveaulosen emeidi" gleichzustellen.
@Anonymous um 12:17 PM Uhr
Soweit ich weiss wurde PG immer im voraus auf neue Lücken hingewiesen bevor diese publik wurden, nicht? Insofern finde ich das ok. So können andere aus Fehlern lernen und Mario hat ja jeweils gleich die Lösung mitgeliefert. Ausserdem hatte PG auf die ersten (alten) Hinweise nie reagiert, desshalb halte ich die damalige Massnahme die Lücken zu veröffentlichen für tragbar, so wurden sie zumindest schnell geschlossen.
PS: Legt auch mal ein Pseudo zu :-p
es gibt leute die haben zuviel zeit, es gibt leute die diskutieren über dinge von denen sie keine ahnung haben und es gibt den mario der alles unter einen hut bringt ;) ich amüsiere mich köstlich über diese person- die artikel über sein lieblingspartyportal und seine kriminellen machenschaften ist das eine und die anderen grossgekotzten artikel das andere. schreiben kann er über die inhalte kann man sich streiten ;) viel spass auf dem gurten mario, fährst du mit deinem 3,8 liter jeep hin? wer weiss vielleicht sehen wir uns, wäre nicht das erste mal.
ach chinder... sit doch e chli lieb mitenand :-)
Ach Kinners, lasst doch den armen Mario in Ruhe...
Wie soll er seine Freizeit denn sonst rumbringen? Alle guten XXX-Seiten hat er bestimmt schon "gehackt"...
Warten wir mal bis 30. Juli, dann kann er gewisse Sachen sicher irgendwo anders loswerden... :)
Mich erstaunt, wie im Jahre 2006 den Leuten noch immer nicht bewusst ist, worum es hier geht. Die Blogsphaere hat eine kritische Masse erreicht und die Schlacht um Aufmerksamkeit ist eroeffnet.
1.) Je groesser der Fisch ist, an dessen Bein gepinkelt wird, desto effektiver die Publicity. Kein Wunder, nimmt die Boulevardpresse Zidane ins Fadenkreuz und nicht Materazzi.
Darueber hinaus finde ich es 2.) gerechtfertigt, wenn nicht notwendig, dass jemand Fehler aufdeckt und publiziert um andere davor zu bewahren, die selben Fehler zu begehen. Dass das auf jemands Kosten geht ist eine zwangslaeufige Konzequenz. Gut, dass es wenigstens nicht auf Kosten eines Kleinen geht, der sowieso ums ueberleben kaempft.
Ich bin einverstanden, dass die oben erwaehnten Kosten in Grenzen gehalten werden koennen - dann allerdings waere die Publicity wiederum nicht so effektiv. (siehe punkt 1.)
Ich gehe davon aus, dass die explosive Kombination aus 1.) Publicity und 2.) minuzioeser Dokumentation allgemein positive Auswirkungen auf die Sicherheit kuenftiger Projekte haben wird. Auch damit ist ein meiner Meinung nach wichtiges Ziel erreicht.
Ich jedenfalls werde jetzt so einige meiner Projekte anders aufgleisen und begebe mich so weniger in Gefahr, Fehler dieser Art zu begehen.
Koennt ihr euch auch noch dran erinnern, als veroeffentlicht wurde, wie einfach GMX und HOTMAIL Session IDs via HTTP-REFERRER gehijackt werden konnten? Das sollte doch bei allen die Alarmglocken klingeln lassen?
so, nun muss ich da auch mal noch was dazu sagen. bevor du dich mit "Redaktion" bezeichnest, bitte besuche mal eine Ausbildung zum Redaktor oder so was ähngliches. Alles andere ist doch einfach nur egoistisches, selbstherrliches getue. Sorry. Du hast wohl keine Ahnung, was in einer Redaktion abgeht. Egal.
Dann ich glaube ich muss diesen Leuten hier recht geben. Du hast nichts besseres zu tun. Cool, habe ich jemanden von der Uni kennengelernt. Ich habe gar nicht gewusst, dass die Leute da so schlecht über deine Machenschaften informiert sind.....
Ich verstehe null und gar nichts on Informatik, aber das von der Swisscom aus mehrmals mit der gleichen IP gevotet wird, ist mir sogar klar.... Dumm geht die Welt zu Grunde.
In diesem Zusammenhang moechte ich hier noch von der Zweiklassengesellschaft warnen! Ein kleiner Teil der Gesellschaft, der Computer und ihre Funktionsweise versteht wird in Zukunft eben diesen Wissensvorsprung dazu nutzen, Kontrolle ueber Computer auszuueben. Der grosse Rest wird diesen Durchblick nicht haben und ueber diese wird von Computern Kontrolle ausgeuebt.
Es ist wichtig, hier frueh genug fuer Aufklaerung zu sorgen. Oder 98% der Menschen werden den Anschluss verpassen!
In diesem Sinn: Google entscheidet, wo wir morgen einkaufen - nicht wir.
Scary, oder?
@Anonym 9:11AM
Cool ich habe heute dein Kommentar gelesen. Habe gar nicht gewusst, dass du soviel Müll schreibst.
Verstehe irgendwie den Zusammenhang nicht. Warum müssen die Leute in der Uni informiert sein, was er in seiner Freizeit treibt? Wenn Mario seinen Job bei der Uni gut macht, und auch sonst sein Business dort erledigt, kann es doch den Leuten scheissegal sein, was er in seiner Freizeit treibt? Oder erzählst du deinen Arbeits/Schulkollegen auch immer wenn du am Wochenende besoffen in Mami's Briefkasten gekotzt hast???
Soviel zu dem... Was das Thema PG anbelangt.. naja was soll man von ner Seite halten, wo 15 jährige Mädchen in Unterwäsche prahlen, dass ihr Lieblingsclub OXA oder Prestige sei, und dass sie ein Abenteuer suchen... Naja, wie die User so die Seite.. eigentlich Schade... :-(
Ich habe zwar nicht alle Kommentare gelesen, aber ich will hier nochmals dem eMeide für seine Leistung danken.
Als Partyguide-Fotograf will ich natürlich wissen mit was für einem System ich es zu tun habe. Hoffen wir, dass diese Leute dahinter mal - auch wenn das ne Menge Arbeit ist - mal in den .... knebeln (Sie arbeiten daran, versprachen sie mir per Anfrage). Wenn bis Ende Jahr das Portal so bleibt, fühle ich mich gezwungen das Portal als Eventfotograf zu wechseln. Es ist leider tragisch, dass Funktionen unergonomisch gestaltet worden sind auf der Page. Im weiteren habe ich von Kolleginen erfahren, dass das Niveau von Männer-Nachrichten enorm tief ist bei PG im Gegensatz zu anderen Portalen.