Hallo liebes GET-Team, insbesondere möchte ich aber die hier "arbeitenden" Webmaster ansprechen.

Ich habe mich ein bisschen mit dem Thema "hacking" "exploiting" und "sicherheit" beschäftigt und mal einige Board´s nach Sicherheitslücken gescannt. Da ist mir euer Board aufgefallen. Es war mir gestern nacht gegen 01.00 uhr oder 02.00 uhr möglich zugriff zu "Makaan" seinem account zu erhalten. Dafür brauchte ich nichtmal 5 Minuten, als ich den Hash seines md5 verschlüsselten Passwortes hatte, konnte ich mich via cookie faking mit seinem Account einloggen (nicht ins ACP). Der nächste Schritt war die Hash´s beider Administratoren (die ich jetzt nicht poste) zu cracken. Da ich keinen schaden anrichten wollte habe ich nur den hash von "Makaan" gecrackt. Als dies beendet war hatte ich auch zugang zum Acp, wo ich freigeschalten habe das es Administratoren erlaubt ist avatare mit der endung .php hochzuladen. Dies machte ich dann auch. Ich lud 2 rootshells hoch womit ich den kompletten zugang zu euren Script files bekommen habe. Es war mir außerdem möglich ein backup euer Datenbank zu laden, ich hätte somit euer script 1 zu 1 ripen können. Da ich nicht auf sowas aus bin, habe ich die 25mb Große Datenbank wieder gelöscht. Die beiden rootshells befinden sich im /images/avatars/ Ordner wo ja nur 2 php datein drin sein sollten. Ich hoffe das ich durch meine "aufklärung" kein Brief von eurem Anwalt bekommen werde. Falls ihr fragen bezüglich der schließung dieser Sicherheitslücke habt, könnt ihr euch gerne bei mir über icq melden (257521055)

Abschließend bitte ich "Makaan" schnellstens sein Passwort zu ändern.

Mit freundlichen Grüßen

Norman Fischer aka DoctorDeath

Hey, jo das mit version 2.3.6 sollte bisschen "kompilizierter" sein aber machbar ;-) ich hab ja ka ob ihr Lizenz habt, aber wenn nich, kann ich euch bzw dir auch die pl1 und pl2 updates geben, da ist dann nichts mehr mit exploits.

Ich habe weder Avatare gelöscht noch sontigen "Schaden" angerichtet. Wenn in nächster Zeit euer Board "gehackt" werden sollte ist es nicht meine Schuld! Ich hoffe ihr bzw du bist dann in der Lage die IP´s von meiner zu Unterscheiden, ich habe beim ersten "Angriff" kein Schaden angerichtig, warum sollte ich beim "zweiten angriff" (warum ich den auch machen sollte) irgentwelche Daten löschen. Wenn Zerstörung meine Absicht gewesen währe, würde hier kein Board mehr sein, denn ich hatte die Möglichkeit dazu!