SQL-Injection (Gamigo, Elite, FanPages)

ℓυαη1886 · 11/02/2010, 14:33

Versteh ich das jetzt richtig ? Hat elite lc was damit zu tun mit dieser Lücke in dem spiel oder so? oder lieg ich falsch beantwortet mir die frage:S

♫.ImP4cT™♪ · 11/02/2010, 14:33

Quote:

Originally Posted by Thunderchens

Na doch Theoretisch und praktisch kann man alles und jeden Hacken egal ob er eingeloggt oder ausgeloggt ist wenn man erstmal iwie an bestimmte Daten vom Server gekommen ist..

Ich hoffe Gamigo macht das richtige findet den Typen und prügelt die sch.. aus ihm raus bestimmt so ein dummes Script Kiddie oder nen hängen gebliebener erwachsener der zu dumm ist sich nen job zu suchen und was sinnvolles anzustellen.

Was bringts onlinegame accs zu hacken gibt viel wichtigeres im leben lol..

Ich spiele weiterhin die Chance gehackt zu werden ist bei on und offline gleich wenn der Typ im Server steckt.

Ich würde erstmal ne Antwort von jana abwarten. Es gibt wahrscheinlich einen Grund dafür, sonst hätte sie ja wohl nicht dazu geraten, sich nicht einzuloggen.
MfG,
TO1²³

shadow52 · 11/02/2010, 15:04

Quote:

Originally Posted by ℓυαη1886

Versteh ich das jetzt richtig ? Hat elite lc was damit zu tun mit dieser Lücke in dem spiel oder so? oder lieg ich falsch beantwortet mir die frage:S

Wir hatten damit nichts zu tun...Lies dir den Text mal bitte genau durch.
Von der Nacht von dem 30 auf den 31 gab es eine Attacke auf Die FanPages/auf EliteLc und Gamigo und es war alles der ein und selbe Typ.
Und der Angriff war nur ein Test von ihm und er greift irgendwann wieder an Jedoch hatt Jana die Fanpages geschützt und wir unseren Server.
Gamigo streitet derzeit alles ab und will nen Rollback machen jedoch bringt dieser nichts wenn die Lücke immer noch besteht und er gleich wieder Zugang zu ihre Datenbank hatt.
Somit sollte Gamigo lieber die Lücke suchen und fixen bevor sie nen Rollback machen.

dsfgd · 11/02/2010, 15:12

zu dem Nicht einloggen,
wenn ihr euch einloggt, dann kann man aus dem Speicher des spiels eure char id auslesen, wenn man datenbank zugriff hat, bedeutet das, das der hacker euren char leichter finden kann, den der ist offensichtlich nur darauf aus schaden anzurichten.

wieviel zugang er hat ist nicht bekannt, aber es scheint so, das er bis jetzt keinen GM erwischt hat.

*Jana* · 11/02/2010, 15:17

Wenn alle ein Statement wollen... hier beantworte ich die Fragen:

Quote:

Originally Posted by FireflieZ

öhm was bringt es denn die finger vom client zu lassen?
das macht doch eigendlich keinen unterschied oder?
und woher weisst du das mit happyhalloween und was muss gamigo machen, damit das sicher wird? und wurden ernsthaft die server gehackt?
weil die gms und moderatoren ja mit allen mitteln abgestreikt haben.

und wenn du die ahnung hast, könntest du denen nich ein paar tipps geben?
wär echt super, danke

Öhmm FireflieZ, ich rate dir nochmal den Post von mir durchzulesen, dann sollten sich die gröbsten Fragen klären!

Finger vom Client zu lassen bringt in sofern viel, als das der Hacker nicht auf euch aufmerksam wird und ihr nicht noch unnötig Zeit und Geld in euren Account steckt der anschließend gehackt oder zurückgesetzt wird!

Wie bereits im Startpost beschrieben habe ich eine anonyme Nachricht von Codename "HappyHalloween" bekommen.

Als Tipp für gamigo kann ich nur raten:
-Prüft eure Datenbank, bzw die Logins auf Backdoors um weitere Angriffe zu vermeiden.
-Sucht das Script was Grund für den Angriff war (Registriersript, Loginscript oder jedes andere was mit der Datenbank in Kontakt steht) und benutzt Prepared Statements um einem weiteren Angriff aus dem Weg zu gehen
-Macht euer BackUp nicht so minimalistisch, dass daraus Langzeitfolgen resultieren könnten sondern setzt es auf Samstagmorgen, optimalerweise Freitagmorgen zurück!

Die gamigo Server, also die GameServer wurden nicht gehackt. Es wurde sich lediglich Zugriff zum Datenbanksystem von gamigo's LastChaos verschaffen.

Quote:

Originally Posted by gammeln.gimli

du kannst auch direkt über die nksp .exe starten. auf us geht es jedenfalls

Komplette Fehlinterpretation!
Wie du den Client startest ist nebensächlich!
Wie gesagt: Ich rate euch davon nicht inGame zu gehen, was ihr tut ist eure Entscheidung! Ich sag nur soviel: Ein aktiver Spieler ist für einen Hacker wesentlich interessanter!

Quote:

Originally Posted by FireflieZ

wenn der kerl übern server "hackt" dann machts doch eh keinen unterschied ob ich den client öffne oder nicht..

Nein! Momentan kann es dir egal sein ob du gehackt wirst oder nicht, da ees ein RollBack geben wird. Doch anschließend stellt sich die Frage ob der Angreifer nicht von vorne anfängt und erneut einen Angriff startet.
Letzten Endes ist es dem Hacker überlassen wen er hackt, jedoch ist ein aktiver Spieler wie schon oben gesagt wesentlich auffälliger!
Deshalb solltet ihr eventuell morgen, bzw übermorgen auf das Spielen verzichten und lieber auf Reaktionen derer im offiziellen Forum warten, die online gegangen sind, bzw auf offizielle Ankündigungen Gamigo's warten.
Momentan klingen diese nämlich nicht so als hätten sie die Lage unter Kontrolle! Erst wenn dies der Fall ist wird Gamigo auch Schadensersatz leisten müssen da sie davon ausgegangen sind das alles in Ordnung ist. Ist jedoch nicht alles geklärt und du wirst Opfer eines Angriffs würde ich nicht auf Gamigo's Spenderherz vertrauen!

Quote:

Originally Posted by Thunderchens

Wenn Gamigo jetzt ein Rollback von Sonntags Morgens 5.00 Uhr einspielt ist der Server ja wieder genau auf dem Standpunkt von dem Morgen und müsste eig. wenn man logisch denkt doch wieder die gleichen Lücken haben oder irre ich mich da?

Nicht die gesamte Datenbank wird zurückgesetzt sondern lediglich der Stand der Charaktere. Für die Sicherheit muss gamigo paralel sorgen um weitere Attacken vorzubeugen.

Quote:

Originally Posted by ℓυαη1886

Versteh ich das jetzt richtig ? Hat elite lc was damit zu tun mit dieser Lücke in dem spiel oder so? oder lieg ich falsch beantwortet mir die frage:S

Elite LastChaos wurde selber Opfer dieses Angriffs! Bitte lieber Augen aufmachen und erneut lesen bevor du Spekulationen postest!

Ich hoffe das beantwortet jetzt erstmal den Großteil eurer Fragen
Liebste Grüße
Jana

FireflieZ · 11/02/2010, 15:26

ok danke jana, sry ich habs am anfang nur oberflächlich gelesen und direkt fragen gestellt, weil ich etwas aufgebracht war ^^

was für komische menschen machen sowas? also bei nem spiel accounts "versauen".

wenn man sonst nix zu tun hat..

wo ist eig der unterschied zwischen backup und rollback? ^^
*nix versteh*

besteht denn die chance, dass die das wieder in den griff bekommen in nächster zukunft?
und wenn ich doch "wieder" gehackt werde, wird gamigo wohl direkt wieder ein rollback starten? ô.o

bonsaj · 11/02/2010, 15:32

nix wirklich neues/überraschendes,
aber danke für die wall of text^^
ich frag mich nur was für stümper bei gamigo arbeiten, als ob so schwer wäre codeinject zu unterbinden

@firefliez rollback = laden von backup
sie MÜSSEN es in den griff bekommen oder LC-ger stirbt,
und nein du bekommst nur verschwundene sachen wieder wenn die breite masse betroffen ist

Quatsch! · 11/02/2010, 15:34

Quote:

Originally Posted by jana4

Wenn alle ein Statement wollen... hier beantworte ich die Fragen:

Öhmm FireflieZ, ich rate dir nochmal den Post von mir durchzulesen, dann sollten sich die gröbsten Fragen klären!

Finger vom Client zu lassen bringt in sofern viel, als das der Hacker nicht auf euch aufmerksam wird und ihr nicht noch unnötig Zeit und Geld in euren Account steckt der anschließend gehackt oder zurückgesetzt wird!

Wie bereits im Startpost beschrieben habe ich eine anonyme Nachricht von Codename "HappyHalloween" bekommen.

Als Tipp für gamigo kann ich nur raten:
-Prüft eure Datenbank, bzw die Logins auf Backdoors um weitere Angriffe zu vermeiden.
-Sucht das Script was Grund für den Angriff war (Registriersript, Loginscript oder jedes andere was mit der Datenbank in Kontakt steht) und benutzt Prepared Statements um einem weiteren Angriff aus dem Weg zu gehen
-Macht euer BackUp nicht so minimalistisch, dass daraus Langzeitfolgen resultieren könnten sondern setzt es auf Samstagmorgen, optimalerweise Freitagmorgen zurück!

Die gamigo Server, also die GameServer wurden nicht gehackt. Es wurde sich lediglich Zugriff zum Datenbanksystem von gamigo's LastChaos verschaffen.

Komplette Fehlinterpretation!
Wie du den Client startest ist nebensächlich!
Wie gesagt: Ich rate euch davon nicht inGame zu gehen, was ihr tut ist eure Entscheidung! Ich sag nur soviel: Ein aktiver Spieler ist für einen Hacker wesentlich interessanter!

Nein! Momentan kann es dir egal sein ob du gehackt wirst oder nicht, da ees ein RollBack geben wird. Doch anschließend stellt sich die Frage ob der Angreifer nicht von vorne anfängt und erneut einen Angriff startet.
Letzten Endes ist es dem Hacker überlassen wen er hackt, jedoch ist ein aktiver Spieler wie schon oben gesagt wesentlich auffälliger!
Deshalb solltet ihr eventuell morgen, bzw übermorgen auf das Spielen verzichten und lieber auf Reaktionen derer im offiziellen Forum warten, die online gegangen sind, bzw auf offizielle Ankündigungen Gamigo's warten.
Momentan klingen diese nämlich nicht so als hätten sie die Lage unter Kontrolle! Erst wenn dies der Fall ist wird Gamigo auch Schadensersatz leisten müssen da sie davon ausgegangen sind das alles in Ordnung ist. Ist jedoch nicht alles geklärt und du wirst Opfer eines Angriffs würde ich nicht auf Gamigo's Spenderherz vertrauen!

Nicht die gesamte Datenbank wird zurückgesetzt sondern lediglich der Stand der Charaktere. Für die Sicherheit muss gamigo paralel sorgen um weitere Attacken vorzubeugen.

Elite LastChaos wurde selber Opfer dieses Angriffs! Bitte lieber Augen aufmachen und erneut lesen bevor du Spekulationen postest!

Ich hoffe das beantwortet jetzt erstmal den Großteil eurer Fragen
Liebste Grüße
Jana

danke schonmal
also wenn ich nicht mehr onkomm ist es sicherer?
und wieso hackt er einen eher wenn ich jetzt die woche on bin oder nicht das versteh ich nicht

*Jana* · 11/02/2010, 15:36

Quote:

Originally Posted by dsfgd

zu dem Nicht einloggen,
wenn ihr euch einloggt, dann kann man aus dem Speicher des spiels eure char id auslesen, wenn man datenbank zugriff hat, bedeutet das, das der hacker euren char leichter finden kann, den der ist offensichtlich nur darauf aus schaden anzurichten.

wieviel zugang er hat ist nicht bekannt, aber es scheint so, das er bis jetzt keinen GM erwischt hat.

Ich hätte es kaum passender Ausdrücken können, obwohl ich euch derartige Erklärungen eigentlich nciht antue wollte

•»тhundeя™ · 11/02/2010, 15:40

Danke für die Antworten Jana ,

aber mal ehrlich was bringt es zb. jemanden so etwas wie EliteLC anzugreifen das ist so gesehen "ein noob LC" wo es nix zu holen gibt.

Oder will das einfach nur jemand sein der sich beweisen muss und aufmerksamkeit braucht lol.

Shahhy · 11/02/2010, 15:47

Quote:

Originally Posted by Thunderchens

Danke für die Antworten Jana ,

aber mal ehrlich was bringt es zb. jemanden so etwas wie EliteLC anzugreifen das ist so gesehen "ein noob LC" wo es nix zu holen gibt.

Oder will das einfach nur jemand sein der sich beweisen muss und aufmerksamkeit braucht lol.

Es wurde doch bereits gesagt, dass es ihn weniger um den "eigenen profit" geht, sondern darum einfach Schaden anzurichten. Was ihm auf Ger ja sehr gut gelungen ist.

*-Impact-* · 11/02/2010, 15:54

Stellt euch vor er hätte nen gm account erwischt..^^ da hatten die wohl glück das die nie on sind *lol*

Dotsch_2005 · 11/02/2010, 16:23

Quote:

Originally Posted by *-Impact-*

Stellt euch vor er hätte nen gm account erwischt..^^ da hatten die wohl glück das die nie on sind *lol*

Wenn er accounts hacken kann kann er woll auch einen Account als gm klassifizieren...was natürlich lustig wäre wenn alle accounts gms sind.

FireflieZ · 11/02/2010, 16:26

hmm
wenn der nur aufmerksam keit sucht.. dann würde ich an seiner stelle nich nen elitepvplastchaosserver dings häcken, sondern lastchaos ger, us und korea^^

wie funktioniert sowas eigendlich? kann sowas jeder hanswurst machen, der sich ein bisschen damit auseinander gesetzt hat und viel langeweile hat?
könntest du sowas auch machen, wenn du wolltest, jana? o.o

Mausmann · 11/02/2010, 16:28

Danke Jana für die SUPER Info

Ich hatte auch die Idee es könnte ein Datenbank Angriff sein.
Aber was ist eine IDEE.

Entweder der Hacker wollte sich profilieren oder einfach nur mal so Gamigo Ihre Unfähigkeit aufzeigen.

Ich tippe auf letzteres und dann kann ich nur gannz deutlich DANKE sagen.

Jetzt stellt euch mal vor nicht ein Idealist knackt Gamigo sondern ein Kapitalist.
Der würde eine Hintertür genüsslich ausbauen und stk für stk Items an sich nehmen. Von Inactiven spielern, kleinere Mengen ....
Gamigo würde in so einem FALL niemals etwas unternehmen.

Das wäre wirklich schlimm, so mus gamigo auf die harte Tour lernen was es bedeutet im IT-Bereich mitmischen zu wollen und dabei unfähig zu sein.
Das übliche Spiel in der heutigen Zeit, Arbeit von unterbezahlten Teilzeitstudenten erledigen lassen um möglichst VIEL GEWINN zu machen.
Leider hat dies dann tw dramatische Auswirkungen.

Ich kann nur hoffen Gamigo lernt aus diesem Vorfall.

Nochmals EXPLIZIT DANKE an den Hacker das dieser eher aus Idealismus denn aus Habgier gehackt hat. ( Aber ein wenig sauer bin ich auch, ein Jahr vorfreude aufs Halloween event und nu ..... )

MFG
Mausmann