Så er hacking tilladt for et stykke tid.

Du har skjult den godt: "The connection was refused when connection to xxx.xxx.xxx.xxx"

kan ikke finde serveren :)

nikolajdu -> nu kender jeg dig jo lidt, og ved du ikke er ude på noget ondt - men du skal kunne dokumentere at det er din server (fx lav en server sig. der står Nikolajdu i)

Morten

man skal nu aldrig være sikker på ham nikolaj ;-)

men når siden ikke er tilgængelig må man sige at det er bulletproof *LOL*

Damn sgu prøver lige at lukke op for jer ;-)

dea du har ret - Skal nok lige skrive "nikolajdu du" :))

keine server.

nu har du jo ikke specificeret hvordan siden skal/må hackes.. hvad er tilladt?

må jeg fx prøve mig frem med samtlige brugernavne/kodeord jeg kan finde på (vil nok tage ret lang tid - meeen)

Morten

et ret godt spørgsmål egentligt... er det din egen server? Må vi stresse den, til den giver os adgang?
Hvis det er et hosting hotel den ligger på, ville det nok ikke være lovligt etc...

Jeg har ikke kigget nærmere på det, men kunne være sjovt at se på, når vi ved HVAD du tillader.

squash - Nu aner jeg jo ikke hvad i har tænkt jer så jeg har taget backup. *lol* - I må godt teste så meget i nu har lyst til

dea_pg - der er 2 brugernavne og passwords i databasen så du er velkommen. Har i problemer kan i senere få det ene.

Hjalp det i øvrigt?

Det er min helt egen maskine så der er ingen problemer.

din server bliver nok bombarderet med requests - så jeg lader være ;)

prøver lige et par andre metoder

Morten

nickolaj => har du noget mod at lave scriptet så det skrive fx 'forkert' ved forkert bruger og/eller pass?

Morten

dea jeg vil gerne selv teste mine scripts ås kan du fortælle mig hemmeligheden bag det? :D

nej det kan jeg da godt men brug ikke tid på brugernavn - Det kan næppe betale sig - Så kan jeg ligeså godt forære det med det sammme.

Det er ikke en gætte konkurrence på passwords - Det er ikke noget særligt.

Kan i overhovedet se siden?

ja , forsiden

ikke side 1?

jo forsiden og side1 kan ses her

jeg kan se

[login box]
forside
test 1...24/07 - 00:18
---
Hej her er forsiden...


---

legend => somend bare at lave en uendelig løkke der laver et bruger 'a', tester alle passwords, så 'aa', tester, 'ab' tester.. osv! en stor uendelig løkke (der stopper ved login)

Morten

Nu har jeg indsat "forkert brugernavn" og mit navn i titellinien.

Ikke fordi det gør noget - Men zonealarm for da blocket nogle request....

Dea_pg - set det er jo insteressant fænomen - Hvordan kan man stoppe sådan en sag?

Tillad mig et enkelt bøvs.

Man bør aldrig give sig i kast med hacking og indbrudsforsøg med mindre man har en skriftlig tilladelse, med ansvarsfraskrivelse fra en person man er sikker på er netværkets/webstedets ejer.
Hvis jeg vile genere min bedste komkurrent, kunne jeg jo give alle ekspertens brugere tilladelse til at hacke ham, hvorefter I alle ville udsætte jer for retsforfølgelse hvis I havde succes og faktisk kunne ødelægge noget.
Jeg har ingen mistanke at der faktisk sker noget forkert her, men jeg er da heller ikks så sikker at jeg vil udsætte mig for den risiko at tilladelsen er givet på faldsk grundlag.

Mit råd er:

Lad være med at hacke med mindre I er helt sikker på hvem I hacker og har tilladelsen på skrift.

bufferzone - Jeg kan udemærket forstå din og andres holdning til sikkerhedsaspektet men hvordan pokker for jeg så testet det af?

Jeg kan sende jer en email - I kan ringe til mig

Det må og bliver anyway mit ansvar - Så må vi bare håbe at ekspertens login er så sikkert at det er mig der er logget ind.... ;-)

hvad sker der, hvis du lægger siden op på en host med magic_quotes_gpc = off ?

sqaushguy??

jeg tænker på om du så er åben for sql injection...

umidbart lignerne det at det er OK sikkert...

du kører med register_globals = off (godt)
du kører med nyeste version af Apache (2.0.47) (godt)
du kører med nyeste version af PHP (4.3.3) (godt)

du kører med Windows (knap så godt)

Morten

PS, din servers ur er 2 timer og 2 min bagud!

Morten

hmm .. under alle omstændigheder - burde du så ikke slå Direcotry visning fra

se : f.eks. http://80.162.115.114/h4/js/

magic_quotes_gpc angives i php.ini

Det er et problem, hvis man ikke har rådt til at betale nogle af de professionelle for det. Man bør kende den man udføre den slags for personligt, for alle parters skyld. For at sikre sig kunne man jo lave en whois og dermed bekræfte at du faktisk er ejer

jeg har testet for mysql-injection - og dette virker ikke, nok p.g.a. magic_quotes om squashguy er inde på... du bør escape strenge med add_slashes() eller mysql_escape_chars (eller noget i den stil)

Morten

whois bliver svært når nu det er på min almindelige adsl forbindelse. ANg betaling tja hvis jeg havde råd og nu er det egentlig for min egen vendings skyld.

Jeg har magic_quotes_gpc = On - Hvad betyder det og gør det livet farligere for mig og hvis igen hvordan?

men er det meningen vi skal kunne se ?site=1 ?

for det kan jeg godt

Morten

http://80.162.115.114/h4/index.php?site=1&news_id=2 er den superhemmelige.

"hej duller æøå ÆØÅ" ?

selv dulle

Nej den har i vel kunnet se hele tiden.

jaja

Jeg kan se du har krypteret dine passwords, ellers ville det jo ingen sag være

dea=> hvordan kan du lave en løkke på hans server kan du evt gi mig noget kode som jeg kan teste på min egen server?

tobias_louv - Hvordan fandt du ud af det?

tobias_louv - Bare en kort beskrivelse - denne tråd skal være blive en vejledning i hacking

Nærmere hvordan man beskytter sig.

jeg gik ind i din phpmyadmin, fandt databasen, tabellen og så det

http://80.162.115.114/phpmyadmin9/

du kunne lave en slags login der også :)

ahh fuck jeg havde lige flyttet den tilbage et kort sekund - Godt jeg sgu da havde tømt den...

NEEEEJ FUCK FUCK FUCK - MAXSTEN fik pointene. Han lægger bare latterlige svar så ud med ham.

I andre får point når vi er færdige.

Maxten fik mig lige til det han er ude efter - Så han ryger lige ud til højre - http://www.eksperten.dk/spm/407476

maxsten -> kan du lade være med at lægge svar når det ikke er et svar, men en kommentar!

nikolaj -> du kan også sende kildekoden til mig - så kan jeg gennemgå den (lidt nemmere end at prøve sig frem...)

legend -> prøv selv at lav et... (set_time_limit(0) whould come in handy)

Morten

Det var selvfølgelig det her link jeg skulle smide : http://www.eksperten.dk/spm/407320

Har i givet op? Vil i så have brugernavn+password

det her hvis du samler på dem

http://exp.dk/spm/407760

Morten

Jeg samler ikke på dem for nu har jeg bøffet ham ud.

uden at 'brute-force' det, kan jeg ikke åbne den - nej... !

Morten

brute-force og det er?

aldrig lav dumme ting i et spørgsmål når spm stiller er CoAdmin - sådan man siger?

Morten

at prøve samtlige mulige kombinationer - på et tidspunkt må den komme igennem

Morten

Kan man undgå dette?

Kunne man ikke lave et tjeck der hedder noget alá - du har prøvet 25 gange på 25 sekunder - Luk for dig?

Til ære for eksperten så er det superhemmelige:

brugernavn : ekspert
password : eksperten

Giver det andre huller?

dea_pg ang : maxsten så havde jeg jo faktisk allerede ignoreret ham selvom han smed endnu et svar....

Man kan og bruge "semi brute force", altså basere sine forsøg på ofte brugte passwords. F.eks. ved at gå slavist gennem ordbøger. Der findes faktisk ordlister man kan hente på nettet hvor typiske bruger passwords står i (svage passwords).

Måden at undgå brute force på er f.eks. at sætte en længere og længere timeout inden næste forsøg kan gennemføres.
1. fejl i password, sæt timeout til næste forsøg er tilladt til 1 sek.
2. .. 2 sek.
osv.

dea=> jeg er ikke god til php så har du ikke en kode som kan teste det?

soreno - Ja det er nok lidt smartere.

Du kan også sige at man har 3 forsøg i timen, 5 om dagen eller..

Nå men kort fortalt så blev systemet her også bygget med livrem og seler.

Der bliver sat en cookie, en session og databaserække timeout på folk der er logget ind - For jeres skyld var den sat til 1 minut.

dea_pg,sqaushguy,soreno,tobias_louv :I kan hente jeres point her : http://www.eksperten.dk/spm/408020

/Nikolaj

maxsten>>burde du ikke aflevere de point igen , du har fået ved en fejl her
http://www.eksperten.dk/spm/408020

når man logger ind er urlen: http://80.162.115.114/h4/index.php?loggedIn&
når man logger ud: http://80.162.115.114/h4/index.php?logout=ok&reason=goodbye

skal det være så'n?

..jeg tænkte på "&" skulle vel have været "&", ik?

thesurfer - Havde set det. Det er for at validatoren hos w3 ædre mine links Xhtml 1.1 links - Men det burde nu have været parset.

Det undrer mig egentlig bare at når man skriver &amp; i <a> så parses det - Skriver man det i en header("location:bla.php?a=1&amp;b=2");

Så parses det ikke. Skummelt men skidt.

nikolajdu : Det er vel netop forskellen på serverside og client side? =)

normality ssshhh... ;-)

det taler vi ikke mere om.

nikolajdu : Undskyld, jeg sagde intet.
(I header("Location:..."); skal du bruge & og ikke &amp;)

nikolajdu>> lægger du dit sikre loginscript op noget sted?, mere for at man kan studere koden?