[hannahc]

Hallo liebe Leute,

bin gerade darauf hingewiesen worden, daß sich im Quellcode meiner Webseite jede Menge Datenmüll befindet.

Habe mir das dann angeschaut, und gesehen, daß das nicht von mir ist, sieht also wohl so aus, als hätte jemand die Seite gehackt.

Ich wollte jetzt gerne wissen, welche Arten des Webseiten-Hackings gibt es? Was ich schon kenne ist, daß man halt den FTP-Zugang zur Domain hackt.

Aber gibt´s da noch andere Möglichkeiten?

Und mal angenommen, jemand hat tatsächlich den FTP-Zugang gehackt, und darüber dann die Seite verändert, wie kann ich das in Zukunft verhindern? Versuchen, einen SFTP-ZUgang vom Provider zu bekommen (bin mir aber nicht sicher, ob die das machen)?

[Mac]

dass jemand den FTP-Zugang entert, ist wohl eher die Ausnahme, es sei den dein Passwort heißt Passwort....

Eher wohl über schlechte PHP-Skripte und Code-Injection.

[aUDIOfREAK]

mit was ist deine webseite denn umgesetzt? einem open source cms? eigenen php-scripten gepaart mit mysql? gibt es im backend irgendwelche wysiwyg-editoren?

[hannahc]

Hi,

meine Webseite ist ein bißchen PHP und ansonsten pures old school HTML und CSS (kein CSS3 oder sowas, nur HTML-Elemente, die abwärtskompatibel von allen Browsern erkannt werden), und ein bißchen Javascript (das dient aber auch nur dazu, um irgendwelche CSS-Eigenschaften von Elementen zu verändern z.B. visible/hidden usw.).

Alles handprogrammiert mit PSPad, keine wysiwyg-Editoren.

Der PHP-Teil der Webseite dient vor allem am Anfang als Browserweiche, also von daher kann man nicht wirklich von einer PHP-Webseite sprechen (Ausnahme: Das Kontaktformular wird komplett durch PHP generiert, siehe Code unten).

Was die Code-Injection betrifft, das wäre allenfalls über das Kontaktformular möglich, das Formular arbeitet mit POST und ruft zur Zeichenumwandlung und zum Schicken der Email ein Stück PHP-Code auf (der Code ist mit auf der Webseite eingebettet).

Ich kann ihn ja mal kurz posten (wie gesagt, um das Thema Sicherheit habe ich mir bisher noch nicht so viele Gedanken gemacht, vielleicht ist dieses PHP-Skript ja echt "schlecht"):


Zur kurzen Erläuterung: Die Variable $meldung, die gleich zu Anfang mit ellenlangem HTML-Text auftaucht, wird per <?php print $meldung; ?> in ein div in der Webseite eingebunden, und generiert damit das Kontaktformular.

Im weiteren Verlauf ändert sich diese Variable noch, je nach Situation, nachdem der Anwender den Senden-Button gedrückt hat (z.B. Fehlermeldung plus rotmarkierte Felder im Kontaktformular, wenn keine Emailadresse angegeben wurde, oder ähnliches, bzw. wenn alles paßt und auch die Mail erfolgreich verschickt werden konnte, enthält $meldung einfach nur den HTML-Code für den Hinweis "Herzlichen Dank für Ihre Nachricht...usw".

dazwischen gibt es noch zwei While-Schleifen, die einfach prüfen, ob die Telefonnummer (falls der Anwender eine angegeben hat) einigermaßen Sinn macht.

[hannahc]

So, habe mich nochmal schlau gemacht.

Also für Javascript-Injectionen á la "</textarea><script type="text/javascript">alert('hallo');</script>, wenn man das eben z.B. ins Textarea des Kontaktformulars eingibt, ist der Code natürlich anfällig.

Dann müßte ich also alle POST-Sachen noch mit htmlspecialchars filtern.

Inwieweit man aber über Javascript-Injection HTML-Dateien für immer verändern kann, bzw. ob in dem obigen Code das Injizieren eines PHP-Codes möglich ist, der Dateien für immer verändert, soweit bin ich jetzt noch nicht gekommen.

Bin aber für jeden Tip dankbar, falls Ihr was seht!!

[aUDIOfREAK]

ein freund von mir hat sich mal einen trojaner eigefangen, der ftp zugangsdaten mitloggt und weiterleitet. damit hatten fremde dann kompletten zugriff auf den server. ansonsten gibt es noch die moeglichkeit wenn auf dem server ein veraltetes betriebssystem dauf ist, das sicherheitsluecken aufweist. schon mal die logfiles vom server gecheckt. die betroffenen dateien sollten ja dann ein neueres datum tragen an dem sie veraendert wurden. und hier dann mal die logfiles pruefen, ob es da auffaelligkeiten gibt.

[Kipperlenny]

JavaScript ist Client spezifisch - daher kann man damit auf dem Server keine Daten verändern.
Das PHP Skript kann man verbessern, ist aber nicht "böse" (nimm mal auf dem Beitrag trotzdem deine Mail Adresse raus).

Ich glaube also eher, dass du ein zu einfaches FTP Passwort hattest, deine FTP Daten mitgeloggt wurden oder jemand Shell Zugriff auf den Server hat.

Aber was für ein Interesse könnte man haben deine Seite zu hacken?! Gibt es dort wichtige Geldgeschäfte, private Daten oder Steuersünder CDs?

ps: Dateirechte checken!

[aUDIOfREAK]