[Warnung] Legion Server loggen das User Password

03/16/2018 20:41 Lucky_Patcher#1
Hallo zusammen,

dies ist eine allgemeine Warnung, TrinityCore hat ein Logging eingebaut, das es erlaubt die Passwörter aller User im Klartext auszulesen.

Quote:
POST /bnetserver/login/ HTTP/1.1
Host: XX.XX.XX.XX:8081
Accept-Language: de-DE
Accept: application/json;charset=utf-8
Content-type: application/json;charset=utf-8
Cookie: JSESSIONID=
Device-Id: { "RGKY" : 313730401, "CPGE" : 2290226472, "ULNG" : 2069013116, "SLNG" : 2069013116, "CNME" : 3501952989, "UNME" : 2438509298, "UTCO" : 367583803, "CARC" : 1007465396, "CREV" : 798680979, "CLVL" : 2364708844, "PMEM" : 4292520249, "PSZE" : 2709935546, "OVER" : 3117067717, "CVRA" : 692413807, "CFTC" : 384854359, "CFTD" : 3153620279, "CEFC" : 525970562, "CEFD" : 1259323440, "CBRD" : 4289487017, "CVEN" : 1262429830, "ANME" : 4207982001, "ADSC" : 268457395, "MAC" : 2130414127 }
User-Agent: Mozilla/4.0
Content-Length: 173

{"inputs":[{"input_id":"account_name","value":"[Only registered and activated users can see links. Click Here To Register...]"},{"input_id":"password","value":"XXXXX XXXX"}],"platform_id":"Wn64","program_id":"WoW","version" :"1.0"}GET /bnetserver/login/ HTTP/1.1
Host: XX.XX.XX.XX:8081
Accept: application/json;charset=UTF-8
Accept-Language: de-DE
User-Agent: Mozilla/4.0
Um hinterher nicht im Rampenlicht von sogenannten Phishern zu stehen, die aus Langeweile zwecks Phishing Server erstellen, sollte hier ein ganz eigenes und nur für den WoW Server geeignetes Passwort verwendet werden.
03/16/2018 20:42 ./tkz#2
Krass, danke für die Info
03/16/2018 20:52 Lucky_Patcher#3
Nachtrag, das Logging kommt vom gSOAP, ich werde mal die Entwickler anschreiben! Geht nicht.
03/16/2018 20:53 Xaiunay#4
Wir lernen dann bitte alle nochmal lesen. Das ist nicht Teil von TrinityCore an sich, sondern von dem Dependency gsoap. Außerdem ist es ausschließlich für Debuggingzwecke. Zu dem ist es mit Leichtigkeit möglich Passwörter im Server abzufangen, davon mal ab (Stichwort: Account Erstellung). Also blame lieber gsoap und nicht Trinity. Zudem darfste auch direkt Blizzard blamen, da die PWs nicht direkt im Client hashed werden, sondern erst am Server. HTTPS bringt da auch nix.
03/16/2018 20:55 Lucky_Patcher#5
Quote:
Originally Posted by Xaiunay View Post
Wir lernen dann bitte alle nochmal lesen. Das ist nicht Teil von TrinityCore an sich, sondern von dem Dependency gsoap. Außerdem ist es ausschließlich für Debuggingzwecke. Zu dem ist es mit Leichtigkeit möglich Passwörter im Server abzufangen, davon mal ab (Stichwort: Account Erstellung). Also blame lieber gsoap und nicht Trinity. Zudem darfste auch direkt Blizzard blamen, da die PWs nicht direkt im Client hashed werden, sondern erst am Server. HTTPS bringt da auch nix.
Beides trifft zu!
03/16/2018 21:23 Kaev <3#6
Quote:
Originally Posted by Xaiunay View Post
Wir lernen dann bitte alle nochmal lesen. Das ist nicht Teil von TrinityCore an sich, sondern von dem Dependency gsoap. Außerdem ist es ausschließlich für Debuggingzwecke. Zu dem ist es mit Leichtigkeit möglich Passwörter im Server abzufangen, davon mal ab (Stichwort: Account Erstellung). Also blame lieber gsoap und nicht Trinity. Zudem darfste auch direkt Blizzard blamen, da die PWs nicht direkt im Client hashed werden, sondern erst am Server. HTTPS bringt da auch nix.
Der WoW-Client (zumindest WotLk, wie es in den anderen Versionen aussieht weiß ich nicht) benutzt zur Authentifizierung SRP-6, dabei sollte das Passwort doch gar nicht versendet werden, oder irre ich mich da gerade?
03/16/2018 22:48 Lucky_Patcher#7
Trinity hat dem nun ein wenig entgegen gewirkt.

[Only registered and activated users can see links. Click Here To Register...]

Auch werde ich gSOAP noch eine Nachricht dessen bezüglich zukommen lassen. Und in Legion wird das Passwort erst am Server selber verschlüsselt.
03/20/2018 14:22 Livux#8
Danke!
03/20/2018 20:46 SenixHD#9
Danke für die Information. Wer sein richtiges Passwort bei Privat Servern angibt hat aber auch eigentlich selber schuld sowas macht man nicht da kein Privatserver so sicher ist wie z.b die Seite eures Online Banking oder PayPal o.ä da jeder heutzutage dank google eine HTTPS Seite haben kann zudem sitzt bei Privat Servern IMMER eine Privatperson dahinter und einer Privatperson ohne Kontaktdatenangabe kann man NICHT verfolgen. (Auf Legalem wege)
03/22/2018 06:14 Palivion#10
Thanks for info