In my search for an XSS I stumbled upon somethin way more interesting!

So… what is this?
Read the rest of this entry»

From Matei@racfm – for rstcenter.com and hackersblog.org

http://rstcenter.com/mp3/Racfm_-_HB_and_RST.mp3

http://www.jurnalul.ro/articole/145138/italiahacker-roman-in-slujba-politiei.

Frauda este o metoda josnica de a te imbogati peste noapte. Unii vor sa aiba ce manca, altii vor sa isi mai cumpere inca un BMW. Oricum ar fi, scopul nu scuza mijloacele.

Partea amuzanta in situatia de mai sus e ca romanii l-au extradat. Italienii au vazut ca baiatul e inteligent si capabil, asa ca l-au tratat cu respectul cuvenit. Romanii au vrut sa il aduca inapoi in tara cand au aflat ce ii poate pielea la om dar italienii ne-au dat cu flit si apoi l-au angajat.  Au stiut sa lase discriminarile etnice la o parte si si-au urmat interesele, iar baiatul va fi probabil liber si cu un loc de munca pe gustul lui. De acum inainte va avea ocazia sa isi spele pacatele. Toata lumea a castigat. Ahh, nu. Romanii au pierdut. Era doar un creier util ce putea sa ii ajute in sute de moduri. Mai conteaza? 

Va spune nenea 2fingers o chestie desteapta. Italienii nu au angajat un hacker, au angajat un om inteligent si util. Stiti cati astfel de oameni traiesc in minunata noastra tara dar nimeni nu gaseste de cuviinta ca trebuie sa se foloseasca de intelectul lor?

Ce viata domne’, ce viata. E ca o telenovela. Nu-i asa domnilor experti din Romania? Sa-i manance puscaria pe toti sau sa ii foloseasca alte tari. Mama lor de criminali.

Unule vezi ca te dau pe mana justitiei sa te bage la inchisoare pentru ajutorul premeditat si gratuit acordat oamenilor in repetate randuri.

Ce tara avem si noi.

What is Tribal Wars?

For those who dont know, we can look it up on google: Tribal Wars is a browserbased online game. Every player controls a small village, striving for power and glory”.

It is played in many countries on alot of servers.

By altering a parameter you can access the DB. Because the plaform / software is the same everywhere, it means you can gain access on ALL the servers. You can access the DB on each and every server.

Here you have the version, user and name of the DB for server 9, Romania:

Lets see now what we can find in tabel ds_player.

Besides username, email and password (crypted, but any pass cn be easily decrypted) we can also find the number of “gold” each player has. Fans of this game would know what I am talking about. You can buy gold or transfer it to another player and is one of the most important resources / comodities of the game. First, I concatenated all of these on server 9, Romania:

To show that through the vulnerable parameter you can access any data base on any server, here you have a screenshot for server 11, Holland

The vulnerable parameter is already patched and therefor it is left visible.

Ce este tribal wars? Pentru cine nu stie, cautam definitia jocului in google: “Tribal Wars is a browserbased online game. Every player controls a small village, striving for power and glory”

Un joc ce se joaca in multe tari , pe diferite servere. Un parametru prost sanitizat permite un sql injection, deci acces la bazele de date. Deoarece softul, platforma este comuna parametrul vulnerabil este prezent pe toate serverele. Adica se pot accesa bazele de date pe fiecare server in parte. Prima data sa vedem versiunea, userul si numele bazei de date pentru serverul 9, romania :

Acum sa vedem ce gasim in tabelul ds_player. Pe langa username, email si parola (criptat, dar orice parola poate fi decriptat relativ usor) mai gasim si numarul gold-urilor avute. Cine joaca stie ce este un gold. Goldul se poate cumpara pe bani, dar se si poate transfera la alt jucator, deci gold-ul este ceva foarte valoros. Am concatanat , prima data, toate astea pt serverul 9, romania:

Pentru a arata ca prin parametrul vulnerabil se pot accesa bazele de date de pe orice server, am facut un print screen pentru serverul 11, olanda.

Nu am blurat parametrul vulnerabil, deoarece deja este sanitizat, patched.

As dori sa dedic acest articol “fanilor”, mamei mele, bunicii, catelului, speraclului folosit de “unu”  la spargerea usilor deja deschise si desigur domnului Ionut Balan.

De ce insistam atat de mult pe securitatea site-urilor? Pentru ca acele site-uri detin cele mai importante date ale oamenilor. Pentru ca o vulnerabilitate banala poate insemna acces la datele noastre confidentiale. Pentru ca informatia inseamna putere si de multe ori bani. Deci stim motivatia celor care ataca diferite site-uri cu scopul de a extrage cat mai multe date confidentiale de pe ele. 

Exemplu: Mihaita isi face cont pe www.site.com, completeaza cu datele lui reale formularul de inscriere si cu parola universala pe care si-o trece la orice serviciu online. Ca sa nu se oboseasca prea mult foloseste si adresa lui de mail in care pastreaza diferite informatii destul de importante. Site-ul este mare, are milioane de utilizatori, este verificat la sange de o gramada de experti. Ce sa mai, e un site in care poti sa ai incredere orbeasca. Dar apare “cracheru” care acceseaza “fara permisiune” baza de date a site-ului. Ce poate sa faca acum daca tot are acces? Hai sa extraga tot ce e in baza de date. Si se apuca de extras nenea. 

Dupa extragerea informatiilor din db se incepe verificarea unor usere si a unor parole. Uite ca la userul Mihaita s-a potrivit parola de pe site cu cea pe care o are la mail. Si “cracheru” se logheaza pe mailul lui Mihaita ca nu e nimeni care sa ii dea un capac dupa ceafa si sa ii zica “nu face asta ma”. A gasit poze cu nevasta lui Mihaita. Hmm, cam indecente. Bun, le trimite la pitzipoanca si la cocalari sa faca misto de fraier. Ia uite are si mesaje venite de la o banca. Ii da un forgot password si… voila, acces in contul bancar al lui Mihaita. Hai ca s-a facut “cracheru” de ceva bani. Nici nu a fost prea greu.

Exemplu din viata reala (da, chiar se foloseste metoda urmatoare): 

Sa spunem ca esti pe trilulilu si ii lasi lui Vasilica o injuratura la comentarii. Cel pe care l-ai deranjat are ceva cunostinte IT dar stie ca nu are sanse sa sparga trilulilu, asa ca se apuca sa caute nickname-ul tau pe net. Cu cat userul tau e mai diferit de cuvintele comune, cu atat are mai multe sanse sa gaseasca rapid toate detaliile necesare despre tine. Rezultatele sunt imbucuratoare. Cel vizat are conturi pe vreo 15 site-uri. 

Tot ce ramane de facut e sa ia la puricat fiecare site in parte. Din 15 site-uri sunt sanse mari (o sa dovedesc asta intr-un articol viitor) ca macar unul singur sa fie vulnerabil la una dintre metodele de exploatare. In clipa in care unul dintre cele 15 site-uri a fost spart si s-a reusit extragerea informatiilor, esti foarte aproape de un mic dezastru. Ce poate face Vasilica cu informatiile tale extrase de pe alt site?

1. Iti afla adresa de mail.

2. Iti afla parola pe care ai folosit-o la inregistrare.

3. Verifica daca parola extrasa e aceeasi cu cea de la mail si cu cea folosita la conturile de pe celelalte site-uri. 

4. Daca e aceeasi parola si la mail:

- iti poate lua mailul cu totul

- poate sterge tot ce se afla in mail

- se poate folosi de adresele din lista ta de contacte pentru a-ti trimite un troian de la o persoana in care ai incredere (detalii despre mail spoof aici)

- iti poate vedea toate serviciile online la care te-ai inscris

- iti poate afla toate celelalte parole pe care le mai folosesti la serviciile online

- publica pe net detaliile picante pe care le tii pe mail

5. Daca nu e aceeasi parola la mail:

- incearca sa foloseasca metode de phishing pentru a te convinge sa-i dai parola

- incearca sa foloseasca vulnerabilitati xss pentru a-ti fura cookie

- iti poate trimite software de tip spyware pentru a capata acces la computerul tau

- iti poate trimite mailuri de genul celor readnotify prin care sa iti afle ip-ul si alte informatii despre browserul pe care il folosesti, sistemul de operare etc., informatii ce pot fi utile pentru un nou val de atacuri.

6. Iti afla ip-ul. Ceea ce poate duce la un mic scan pe acel ip in cautarea  unei brese din calculatorul tau (slabe sperante de reusita), sau iti poate administra un atac de tip denial of service*. 

*cei mai afectati ar trebui sa fie doar cei cu ip-uri statice, cele dinamice acordand fara voie un mic plus de protectie deoarece la reconectare se aloca un ip diferit. Daca gresesc puteti sa-mi atrageti atentia. De fapt sunt sigur ca ati face asta fara ezitare, diavoli mici

7. Poate afla din datele contului tau numarul de telefon, unde locuiesti sau care este numele tau real (de la caz la caz si in functie de site).

Astfel faptul ca ai folosit aceeasi parola la mai multe servicii si ai avut grija sa te inscrii cu acelasi nickname pe unde ai apucat iti poate aduce destule probleme, dar problema cea mai mare e ca toti suntem la mana sys adminilor si a coderilor. In functie de cheful si cunostintele lor, datele noastre pot fi in siguranta sau in pericol.  Ce am spus eu mai devreme acopera doar o mica parte din totalul posibilitatilor de atac combinat.

Intrebare generala retorica: daca stii ca ai scapa de problemele de mai sus pentru ca niste talhari, hoti, nenorociti, cum ne spun conationalii, au fortat webmasterul sa isi securizeze aplicatia, ai mai spune ca vrei sa ne vezi la inchisoare?

English version will be posted tomorrow

Se pot scrie extrem de multe randuri referitoare la intimitatea unui utilizator de internet. Eu voi scrie pentru moment doar cateva aspecte importante.

Dupa cum spunea si RSnake intr-un articol pe care nu am avut rabdarea sa il mai caut, oamenii vor sa dea click pe link-uri si sa se inregistreze pe cat mai multe site-uri. Primesti un link pe messenger? Da click pe el fara sa te gandesti prea mult. Intri pentru prima data pe un site? Ai grija sa te inregistrezi pe el cu datele tale reale, cu adresa ta de mail in care iti tii datele bancare si documente personale. Stai asa putin! De ce sa nu folosesti aceeasi parola peste tot?

Read the rest of this entry»

English version will be posted tomorrow

“Frate vreau sa ii sparg si eu mailu’ lu’ gagica-mea. Zi cat ma costa”.

Cu astfel de cereri ne confruntam foarte des de ceva timp. Nu conteaza sexul celor care fac astfel de cereri, in general balanta e echilibrata. Totusi multi oameni nu se gandesc la anumite aspecte.

Za “Hacker” Side

In cazul in care persoana care te-a contactat nu iti este foarte apropiata, nu ai de unde sa stii care sunt motivele reale pentru care ti se cere sa capeti acces intr-un  mail. Da, poate fi chiar cel invocat initial, dar daca scopul este cu totul altul?

Read the rest of this entry»

Lottery is the most popular game in the world.

It involves millions of players and money.

Of course this is one of the reasons that in UK, the national lottery webpage, www.national-lottery.co.uk, is one of the highest ranked.

An unsecured parameter allows access to the database.

Here are the available tables:

Who do you think is the first registered user in the users table? The almighty admin himself!

What can an admin account allow to do on a website? I give you the opportunity to answer this question.

RO Version:

Read the rest of this entry»

“Finde mit StayFriends – der Freunde-Suchmaschine – ehemalige Klassenkameraden, Kollegen, Absolventen, alte Liebschaften und verschollene Freunde wieder !”

A very popular website in Germany with branches throughout Europe and over the Ocean in countries like Sweden, France, Austria, USA and Canada. 

This is a site with some 7.540.881 registered users. (Die Nr. 1 in Deutschland mit 7.540.881 Mitgliedern) (No 1 in Germany with 7.540.881 members) 

It is a meeting place for graduates, classmates, and friends. Unfortunately   this site is guilty of the same sin as the others we’ve been dealing with in the recent past. Take one of the paramters, modify it, and you gain access to a behemoth database.

Lets see the usernames and passwords for mysql.user:

As a proof of the large number of registered users in the Person data base i made a screenshot with the name, email and password of the 6.000.000th user.

In the database you can also find some data about CC (credit card):

As well as the name, address, email and social security number (SSN) of those users:

RO version:

Read the rest of this entry»