Uønsket besøk på Diskusjon.no

[TSP]

Hva er det $salt variabelen er til?

Passord?

Hashet passord?

7204467[/snapback]

Wikipedia har en fin artikkel om det.

7204509[/snapback]

Kunne noen forklart meg dette flott og informativt på norsk?

 

Har også et par spørsmål til Drift:

 

Hvorfor var MySQL debugging slått på i det hele tatt?

Er dette noe dere vil "forfølge"?

Hvilken administrator var det fyren fyrte av mot?

Er dette noe man kun trenger en server og PHP-koden til for å gjøre?

Hvorfor ble "Mine innlegg" og "Favoritter" påvirket i angrepet? Jeg antar at det har noe med fordi det er funksjonalitet dere har laget, men vil vite mer rundt det.

Hvem er det som var med og gjorde grovarbeidet? Var dere samlet? Måtte dere til serverparken? Eller kunne dere enkelt sitte foran hver deres data og fikse opp i dette?

 

Ellers vil jeg rose Drift for hvor kjapt og greit dere ryddet opp og taklet situasjonen på.

[Zethyr]

Hvorfor var MySQL debugging slått på i det hele tatt?

7204878[/snapback]

Det må det ha vært for at den nevnte sårbarheten skulle virke.

 

Er dette noe dere vil "forfølge"?

7204878[/snapback]

De har sagt så.

 

Hvilken administrator var det fyren fyrte av mot?

7204878[/snapback]

Har det noen relevans? \o/

 

Er dette noe man kun trenger en server og PHP-koden til for å gjøre?

7204878[/snapback]

Har man en server og php-koden går det veldig enkelt, ellers fungerer det med bare en http-klient også, som f.eks. Firefox eller Internet Explorer.

[TSP]

1. Jeg spurte ikke om det var på, men hvorfor det var på.

 

2. Jeg vet også at det er sagt, men jeg vil gjerne vite mer om det.

 

3. Jeg er nysgjerrig og er en stor tilhenger av unyttige fakta.

 

4. Takk for svar. Skal prøves

Endret 2. november 2006 av The Strategy-player

[Zethyr]

1. Jeg spurte ikke om det var på, men hvorfor det var på.

7204949[/snapback]

Det har jeg spurt om tidligere, men har ikke fått noe svar =/ Tipper at siden de ikke svarer så lå det menneskelig feil bak, men det er ren gjetning.

 

4. Takk for svar. Skal prøves

7204949[/snapback]

[JohndoeMAKT]

Kunne noen forklart meg dette flott og informativt på norsk?

*(4) Find out what a password “salt” means and what its purpose is.

-A salt  is a (more or less)random bit-sequence added to a users

password input to create the cryptovariable that is hashed. The salt is

then often stored with the hash, either as a part of it (UNIX shadow)

or separate from it. The salt has several features:

~ Two identical passwords with different salts will produce different

hashes

~ The randomness of the salt makes the cryptovariable less prone to

dictionary attacks 

~ It has the potential to increase the character range of the

cryptovariable and therefore seriously strengthening it against

bruteforce attacks by e.g. introducing a special character

(@!#!$^%^) or a number.

På norsk:

Passord brukt av brukere er i praksis ganske begrenset av hva vi kan og ønsker å huske og mange brukere vil også velge de samme passordene. Et problem med dette er at du teoretisk sett ikke trenger å hashe en gigantisk tabell for å finne kryptovariablen bak de fleste passord og dersom to brukere har samme passord vil de også få samme hash.

Løsningen på dette er å la datamaskinen generere en psudorandom string (salt) som blir lagt til kryptovariabelen som igjen blir hashet. Saltet blir så vanligvis lagret sammen med hashen. Eksempel:

 

Usaltet :

Passord1 = katt, hash = 1234, fire tegn, alle små, 4*10^4+ permutasjoner

Passord2 = katt, hash = 1234, fire tegn, alle små, 4*10^4+ permutasjoner

 

Saltet :

Passord1 = katt, salt = F43#a, hash = 7428, ni tegn, små&store&tall&spesialtegn, ~3*10^17 permutasjoner

Passord2 = katt, salt = foeaA, hash = 4623, ni tegn, små&store, 2.8*10^15 permutasjoner

 

Et salt øker både lengden på passordet, gjør det vanskeligere med ordbokangrep og kan potensielt øke karakterutvalget og dermed øke antall permutasjoner ganske mye.

[OddZen]

Bra Jobbet tech

Tror nokk det var deres store forumfiende som var innom å snuste

itpro.no, slemme gutter d der

Tror nokk passord polecyen er bra nokk her, bare det at noen folk har så lite å gjøre, så de leser fremmedordbøker på all verdens språk for å kunne hacke diskusjon.no

Thats what i call "No lifers"

Endret 2. november 2006 av LeanFear

[Tunky]

2 113 922 820 milliarder?!

 

Det vil si 2 113 922 820 000 000 000 muligheter?

Hjelpes.

[AllFather]

Hvis de vil hijacke kontoen min får de bare sette igang, har ikke akurat statshemmligheter lagret her. Oppfordring til å bytte passord mener jeg skaper overdreven frykt

 

Hvem bruker forresten passord? Bruk settninger istedenfor...

[Hetland]

 

Hvem bruker forresten passord? Bruk settninger istedenfor...

7205965[/snapback]

 

 

passord høres uansett bedre ut enn passsetning

[Kris R]

Nok et bevis på at åpen kildekode er skummelt, må det gå liv tapt før de stenger denne livsfarlige kildekoden, jeg bare lurer?

7204074[/snapback]

 

Invision Power Board er ikke åpen kildekode. Du motbeviste nettopp din egen påstand.

7204579[/snapback]

All PHP er i utgangspunktet åpen(men kun betalende kunder(eller pirater) kan få tilgang til koden). Jeg har selv lastet ned, satt opp og endret kildekoden til IPB etter mine egen behov, flere ganger. Endret 2. november 2006 av Kris R

[efikkan]

Men husk at ikke alle bruker brute-force, mange bruker "key logging" og lignende.*

[Nervetattoo]

Nok et bevis på at åpen kildekode er skummelt, må det gå liv tapt før de stenger denne livsfarlige kildekoden, jeg bare lurer?

7204074[/snapback]

 

Invision Power Board er ikke åpen kildekode. Du motbeviste nettopp din egen påstand.

7204579[/snapback]

All PHP er i utgangspunktet åpen(men kun betalende kunder(eller pirater) kan få tilgang til koden). Jeg har selv lastet ned, satt opp og endret kildekoden til IPB etter mine egen behov, flere ganger.

7206026[/snapback]

 

Nei, all PHP er i utgangspunktet ikke åpen. Dette er en lisensieringesting og ikke om man har obfuskert kildekoden. At du får med kildekoden og kan lese den gir deg ingen rett til å gjøre noe som helst med den utenom å kjøre den.

[Nervetattoo]

Har også et par spørsmål til Drift:

 

Hvorfor var MySQL debugging slått på i det hele tatt?

Det er vel opplagt, for å debugge

Når vi titter på ytelsesting hender det seg at sql-debuggingen er fin å bruke.

 

Hvilken administrator var det fyren fyrte av mot?

Uvesentlig, det var ikke rettet mot en spesifikk person.

 

Er dette noe man kun trenger en server og PHP-koden til for å gjøre?

Man trenger en pc med nettilkobling, php installert og php-koden.

Om det er en server spiller ingen rolle.

 

Hvorfor ble "Mine innlegg" og "Favoritter" påvirket i angrepet? Jeg antar at det har noe med fordi det er funksjonalitet dere har laget, men vil vite mer rundt det.

Hvorfor det ble påvirket er vi faktisk litt usikre på, det var mest sannsynlig en bug som hadde eksistert i lang tid og som først ble synlig når alle skins ble recachet.

 

Hvem er det som var med og gjorde grovarbeidet? Var dere samlet? Måtte dere til serverparken? Eller kunne dere enkelt sitte foran hver deres data og fikse opp i dette?

Det var mer eller mindre kollektiv løsning av grovarbeidet, omtrent alle bortsett fra jeg som ikke fikk det med meg fra starten siden jeg var fanget i en film

Vi måtte ikke opp i serverparken, alle jobbet hjemmefra.

 

Ellers vil jeg rose Drift for hvor kjapt og greit dere ryddet opp og taklet situasjonen på.

7204878[/snapback]

Hyggelig med ros

[simalarion]

selvsagt dere våre guder, uten dere haddet jeg gått meg helt vill

 

verdens beste forum, right here

[Kris R]

Forresten, props til hackeren for å ha plassert min meny over selve innholdet og ikke til venstre. Sikkert fordi han har resatt noen innstillinger osv ved et uhell, men jeg liker det. Visste ikke at det gikk ann.

Endret 2. november 2006 av Kris R

[-Night-]

samme skjede på min forum ^^ digg med 3 servere i kluster ^^ var oppe igjen etter 10min. mens jeg fiksa hullet.

[Zethyr]

så de leser fremmedordbøker på all verdens språk for å kunne hacke diskusjon.no

Thats what i call "No lifers" 

7205769[/snapback]

Ehh..?

 

 

Hvem bruker forresten passord? Bruk settninger istedenfor...

7205965[/snapback]

passord høres uansett bedre ut enn passsetning

7206013[/snapback]

Passtreng er vel det best dekkende ordet, men passord er et innarbeidet uttrykk.

 

 

Hvilken administrator var det fyren fyrte av mot?

Uvesentlig, det var ikke rettet mot en spesifikk person.

7206477[/snapback]

Hvordan var dette angrepet mulig å utføre uten å rette det mot en spesifikk person? Da er det ikke lengre snakk om den exploiten som var å finne på ***w0rm.com

 

Er dette noe man kun trenger en server og PHP-koden til for å gjøre?

Man trenger en pc med nettilkobling, php installert og php-koden.

Om det er en server spiller ingen rolle.

7206477[/snapback]

Php-script, kildekode til .exe-filer eller liknende brukes som oftest kun for å automatisere exploitinga, og gjøre det lett for menigmann å bruke exploiten. I dette tilfellet var det snakk om SQL-injection, og det kan fint utføres uten php installert eller noen php-kode i det hele tatt.

 

Ellers vil jeg rose Drift for hvor kjapt og greit dere ryddet opp og taklet situasjonen på.

7204878[/snapback]

Hyggelig med ros

7206477[/snapback]

Og ros fortjener dere

Det var vel en enkel oppgave for dere å rette feilen, men nå mine innlegg og alt annet bugget i tillegg, og med den lille tiden det tok, så var det virkelig godt jobbet.

[DJViking]

Ble det ikke politianmeldt?

[Nervetattoo]

Hvordan var dette angrepet mulig å utføre uten å rette det mot en spesifikk person? Da er det ikke lengre snakk om den exploiten som var å finne på ***w0rm.com

 

Altså, jeg snakker om person og ikke brukerkonto. Jeg tipper på at den første kontoen med adminrettigheter han kom over ble valgt.

 

Php-script, kildekode til .exe-filer eller liknende brukes som oftest kun for å automatisere exploitinga, og gjøre det lett for menigmann å bruke exploiten. I dette tilfellet var det snakk om SQL-injection, og det kan fint utføres uten php installert eller noen php-kode i det hele tatt.

7206856[/snapback]

Det er sant, men jeg tviler på at crackeren gjorde det manuelt i dette tilfellet.

[Wubbable]

Hva er det $salt variabelen er til?

Det er det motsatte av $sukker

 

EDIT:

Passtreng er vel det best dekkende ordet, men passord er et innarbeidet uttrykk.

Hva med passrnd() :!:

Endret 2. november 2006 av Vigilant