ROM Account hacken

[wolleboiii]

hey leute,
zur zeit werden immer mehr accounts gehackt und ich frage mich wie das geht?ich habe dieses video gefunden aber nach selbst erprobung, hat es bei mir bisher nicht geklappt

hat jemand von euch davon eine ahnung, oder vllt neue ideen wie man das machen könnte?

[anonymous-f4h279]

Das ist eher sowas wie immer, wo dein eigener Account Daten verschickt und du dann gehackt wirst.

[wolleboiii]

hmm...

aber irgendwie muss es ja gehen, weil egal auf welchen servern man auch schaut.. es häufen sich die wc´s von wegen acc wurde gehackt

[Atheuz]

Originally Posted by wolleboiii

hmm...

aber irgendwie muss es ja gehen, weil egal auf welchen servern man auch schaut.. es häufen sich die wc´s von wegen acc wurde gehackt

Ich glaube mal eher das diese Leute einfach nur leichtsinnig sind und diverse keylogger auf Ihren PC haben oder wie schon gesagt, Ihre Daten gephised bekommen.

Edit: Okay, hab mir mal die Webseite angeschaut und muss sagen das es doch möglich ist jemand seinen Account zu klauen, dass muss auch keine spezifische Person mehr sein weil man anscheinend den Usernamen auch noch ändern kann. Und es gibt auch keinerlei Sicherheit wo man sein altes Passwort bestätigen muss und SSL Hinweise ignorieren die meisten, bzw mit IE oder Opera würde so ein Accountdiebstahl garnicht funktionieren. Das einzigste was die Person machen muss ist vorher im Accountsystem eingeloggt sein, wo die Chance ziemlich hoch ist das dies jemand ist wenn man im Forum aktiv ist und dann einfach auf einen Link zu klicken.

Ich kann mich auch täuschen, ich probiers mal aus.

edit2: Ja, funzt tatsächlich, selbst mit SSL Zertifikat. Das Opfer muss sich nur einmal im Accountsystem eingeloggt haben beim Browserstart. Das Cookie hält bis zum Beenden des Browsers, oder falls der Benutzer das Cookie permanent markiert geht es immer. Könnte man z.B über Privat Nachrichten im RoM Forum realisieren, in einem Thread oder z.B als fake Newsletter.

[wolleboiii]

hmm das hört sich interessant an was du da erzählst.aber so 100% versteh ich das noch nicht. kannst das nochmal erklären oder mir via pm schreiben?

[Atheuz]

Originally Posted by wolleboiii

hmm das hört sich interessant an was du da erzählst.aber so 100% versteh ich das noch nicht. kannst das nochmal erklären oder mir via pm schreiben?

Du sollst es auch nicht verstehen, ich geb hier keinem eine Anleitung dafür.

[wolleboiii]

schade, würde mich schon interessieren wie das den leuten so leicht gelingt

[Fir3andIc3]

Originally Posted by Atheuz

Ich glaube mal eher das diese Leute einfach nur leichtsinnig sind und diverse keylogger auf Ihren PC haben oder wie schon gesagt, Ihre Daten gephised bekommen.

Edit: Okay, hab mir mal die Webseite angeschaut und muss sagen das es doch möglich ist jemand seinen Account zu klauen, dass muss auch keine spezifische Person mehr sein weil man anscheinend den Usernamen auch noch ändern kann. Und es gibt auch keinerlei Sicherheit wo man sein altes Passwort bestätigen muss und SSL Hinweise ignorieren die meisten, bzw mit IE oder Opera würde so ein Accountdiebstahl garnicht funktionieren. Das einzigste was die Person machen muss ist vorher im Accountsystem eingeloggt sein, wo die Chance ziemlich hoch ist das dies jemand ist wenn man im Forum aktiv ist und dann einfach auf einen Link zu klicken.

Ich kann mich auch täuschen, ich probiers mal aus.

edit2: Ja, funzt tatsächlich, selbst mit SSL Zertifikat.

Also ich meine es geht nicht ^^ Der klaut doch den gesammten Code der ROM Seite, oder? Er ist aber nicht mit der DB verbunden. Also wie willst du an Usernamen oder PW ran kommen?

[Atheuz]

Originally Posted by Fir3andIc3

Also ich meine es geht nicht ^^ Der klaut doch den gesammten Code der ROM Seite, oder? Er ist aber nicht mit der DB verbunden. Also wie willst du an Usernamen oder PW ran kommen?

Was heißt hier an den Usernamen oder das PW rankommen?

Ich verändere einfach die Daten die ich möchte mithilfe des Cookies des Benutzers. Z.B von Atheuz->HackedUser21 inklusive Email, Password. Wobei man natürlich dann die Sachen mit PHP generieren könnte um mehr User abzuspeichern.

[wolleboiii]

genau das ist es nämlich.. ich glaube nämlich wenn man dort seine daten eingibt wird er nicht weiterverbinden.. sondern eher abbrechen und sagen das er kein connect zur db hat

[wolleboiii]

hä?! wie geht er denn ab?

wie kommst du denn an "SEINE" cookies?

[Fir3andIc3]

Sorry aber da kann ich nicht zustimmen. Dir ist schon klar, dass du keine Zugriff hast auf den Server? Ausserdem halte ich das Video für nen Fake da du ja in dem mom einen eigenen Server brauchst mit EXAKT der selben IP/DNS wie ROM. Wie willst du an eine TOP LVL Domain ran kommen welche schon vergeben ist? Klar ne Subdomain ^^ aber dann mußt du ersmal auf den Rechner das Opfers um seine localhost zu manipulieren damit immer nur deine IP/Homepage gezeigt wird

cookies? Welche? Deine eigenen ? Glaube kaum, dass du die der Opfer hast

[Atheuz]

Originally Posted by wolleboiii

genau das ist es nämlich.. ich glaube nämlich wenn man dort seine daten eingibt wird er nicht weiterverbinden.. sondern eher abbrechen und sagen das er kein connect zur db hat

Um's nochmal zu verdeutlichen: Es werden keine Benutzerdaten verlangt
Die Benutzerdaten bestimm ich selber, damit ich dann auch den Login kenne.

Normalerweise sollte der Server ja requests von einem anderen Server ablehnen, tut er aber nicht.
Wenn ich dir es zeigen soll dann schick mir deine MSN Adresse per PN.

[Fir3andIc3]

Originally Posted by Atheuz

Um's nochmal zu verdeutlichen: Es werden keine Benutzerdaten verlangt
Die Benutzerdaten bestimm ich selber, damit ich dann auch den Login kenne.

Normalerweise sollte der Server ja requests von einem anderen Server ablehnen, tut er aber nicht.
Wenn ich dir es zeigen soll dann schick mir deine MSN Adresse per PN.

Du fragst also den Server nach einem Benutzername und er gibt dir das PW??

[wolleboiii]

aber wenn du keine benutzerdaten brauchst, dann kannst du doch auch nicht auf genau dieses konto zugreifen oder?

oder veränderst du die login daten des opfers? meinst du das damit?

edit: ja oder so, nur da ist halt die frage wie.wenn man die login daten ändern würde müsste man ja auch noch auf dessen email konto zugreifen oder nicht?