[quote]Heute haben wir eine neue Sicherheitslücke in phpBB3 gefunden.
Es ist möglich über die indizierung eines Cross Site Script Befehles bei neuen Webservern Benutzer aus der Online Liste verschwinden zu lassen, weiterhin ist es möglich Crawler und Bots Automatisiert Joinen und Verschwinden zu lassen, ebenso die echten Crawler “Temporär” unsichtbar zu machen bis diese eine neue Seite aufrufen. Dieses kann nicht als Flooding angesehen werden sondern eher als “Groben Unfug” der wiederum keinen schaden an der Website oder dem Server verursacht. Der entstandene Traffic bei der erzeugung beträgt etwa soviel wie 3-10 Seitenaufrufe was weniger als ein Normaler Besucher wäre da hierbei Websiten nicht komplett geladen werden müssen.[/quote]
Das ganze hört sich ja extrem schwammig an. Nachdem was in den Blog Eintrag steht hat das ganze kaum die Qualität einer Sicherheitslücke. Wenn du das Problem etwas näher beschreiben würdest währe das toll.
Ich lade dir eben ein Video Hoch in 9 Minuten ist es oben.
Aus Sicherheitsgründen werde ich aber nur dir einen Privatlink zu Youtube Schicken da man zuviele Rückschlüsse herrausziehen kann
Bei bplaced war es leider etwas schlecht gelaufen denn als ich den Invisible Man demonstrieren wollte kam leider einer Online aber beim X Forum siehst du es.
Das mag ja sein, aber bei einer vertrauenswürdigen Webseite kann das missbraucht werden, um z.B. Fishing zu betreiben. Das nennen sie also “Groben Unfug” …
Willst du mit Crawlern nerven brauchst du kein XSS.
Ich habe dir grade ein video link geschickt… frage den guten Schlaumeier doch mal wie man sich den zu 100% Unsichtbar machen kann beim PHPBB oder wie man Crawler innerhalb von Sekunden wieder verschwinden lassen kann wenn er dir dann sagt das es nicht geht weißt du was abgeht (schau einfach das video denk bitte daran das ist ein Privater Token der gilt nur für dich und ist nicht zur weitervergabe gedacht)
[quote=“DeusEx”]Was er dort gesagt hat ist vollkommen richtig
Willst du mit Crawlern nerven brauchst du kein XSS.
Ich habe dir grade ein video link geschickt… frage den guten Schlaumeier doch mal wie man sich den zu 100% Unsichtbar machen kann beim PHPBB oder wie man Crawler innerhalb von Sekunden wieder verschwinden lassen kann wenn er dir dann sagt das es nicht geht weißt du was abgeht (schau einfach das video denk bitte daran das ist ein Privater Token der gilt nur für dich und ist nicht zur weitervergabe gedacht)[/quote]
joa dass mit den Crawlern kann ich mir noch vorstellen… wie das mit dem “Unsichbar machen” geht wird damit allerdings wirklich nicht erklärt (hab dein video angeschaut)
wird also schon stimmen, was du sagst
[quote=„brain00“][…] wie das mit dem „Unsichbar machen“ geht wird damit allerdings wirklich nicht erklärt (hab dein video angeschaut) […][/quote]Also echt^^ Man sollte dafür kein Video benötigen müssen^^ Das meiste erklärt sich von selbst (eigentlich alles)
Selbst ich hatte schon bevor es irgendwo von jemanden gepostet hat, mich als Google ausgegeben Allerdings kann man nicht eingeloggt und Bot sein gleichzeitig (oder ich habs noch net richtig getestet)
Unsichtbar ist man in sofern das man nicht als Guest angezeigt wird und vermutlich wird nicht mal irgendetwas mitgeloggt da man als „unwichtig“ angesehn wird
Gleichzeitig ist es wichtig was mit dem Bot sein so alles verbunden ist… so kann mans sich weder Registrieren noch einloggen, dort wo FAQ etc. steht, steht nur noch FAQ und dazu wird es falsch angezeigt, User Profile gibts auch nicht etc.^^ Man wird voll beschränkt
Mich wundert nur das es phpBB so macht da es eigentlich total schlecht ist. Bei einigen Suchmaschinen fürt dies zu einer Herabstufung der Seite da diese sich auch mal als Normaler Browser ausgibt und wenn die Seite für die Suchmaschine eine andere ist gibts ärger
PS:
ich weiß nicht was davon schon alles im Video erwähnt wurde, aber ich muss noch ergänzen das man seine Cookies der Seite löschen muss… zumindest wenn diese phpBB nutzt da ich trotz ausloggen nicht als Suchmaschine erkannt wurde solange ist noch 3 Cookies hatte^^
Naja sollen sie mal weiter irgendwas in phpBB erzählen die ganzen Fachleute da gäähn
Weiß garnicht was da für ein Wind drumm gemacht wird wie gesagt das ist eigentlich senseless. Genau mit der Methode kann man btw. auch andere User oder Crawler weghauen.
aber beim X Forum siehst du es.
oder wie man Crawler innerhalb von Sekunden wieder verschwinden lassen kann wenn er dir dann sagt das es nicht geht weißt du was abgeht 
Allerdings kann man nicht eingeloggt und Bot sein gleichzeitig 
(oder ich habs noch net richtig getestet)