Angriff auf SQL-Datenbank ...

[wahsaga]

Original geschrieben von Wurzel
ich würde die prüfung mal anders strukturieren. du überschreibst $error nämlich, wenn alle anderen form-daten richtig sind ...

OffTopic:

---

wenn man schon von der ablauf-logik her solche fehler macht - sollten die dann nicht wenigstens beim testen der funktionalität der sperre auffallen ...?

---

[Innuendo]

Habe gerade in der DB gesehen, dass er sich zwar noch eintragen kann, aber, wie es scheint, unter Schwierigkeiten. Konnte er vorher noch 500 Einträge pro 30 Minuten machen, kann er momentan gerade mal 1 Eintrag pro 15 Minuten machen.

[Innuendo]

Original geschrieben von wahsaga
wenn man schon von der ablauf-logik her solche fehler macht - sollten die dann nicht wenigstens beim testen der funktionalität der sperre auffallen ...?

Eben nicht, weil alle Eingabemöglichkeiten korrekt verarbeitet wurden. So dumm bin ich dann noch nicht, dass ich eine einfache if-Abfrage nicht richtig setzen kann.

[marc75]

Original geschrieben von wahsaga

OffTopic:

---

wenn man schon von der ablauf-logik her solche fehler macht - sollten die dann nicht wenigstens beim testen der funktionalität der sperre auffallen ...?

---

sollte schon

[marc75]

Original geschrieben von Innuendo
Eben nicht, weil alle Eingabemöglichkeiten korrekt verarbeitet wurden. So dumm bin ich dann noch nicht, dass ich eine einfache if-Abfrage nicht richtig setzen kann.

naja, wenn du aber alle möglichkeiten mal durchgespielt hast (praktisch), hätte es doch eigentlich auffallen müssen oder?

[Wurzel]

Original geschrieben von Innuendo
Konnte er vorher noch 500 Einträge pro 30 Minuten machen, kann er momentan gerade mal 1 Eintrag pro 15 Minuten machen.

dann legen wir noch etwas nach:

- erzeuge den bildcheck-code mit einer anderen funktion, zB http://www.php-resource.de/forum/sho...light=passwort ... umlaute mit ins array einbauen ...
- speicher den string md5-verschlüsselt in der session (falls da noch eine lücke ist)
- leere die session-var sofort nach der prüfung

... dann bleibt ihm eigentlich nur noch die händische eintragung.

[Innuendo]

Das werde ich mir vorbehalten, wenn er sich jetzt tatsächlich noch eintragen kann. In den letzten 20 Minuten ist vom ihm jedenfalls keine Eintrag vorgenommen worden. Höchstens händisch könnte er jetzt noch etwas eintragen.

[fuser]

Hallo Innuendo
Zusätzlich zu den technischen Massnahmen solltest Du
die Server-Logs (Zugriffe & IPs) sichern falls Du den Angreifer
verklagen willst oder zumindest eine böse mail schreiben willst.
Vielleicht kennst Du ihn sogar und er will Dir einfach nur an den Karren fahren.

Ich finde es immer schade wenn SO JEMAND keinerlei Konsequenzen
zu befürchten hat, schliesslich verärgert ER DEINE Kunden.
Zumindest eine Androhung von Schadensersatz bei nicht - unterlassen der Angriffe finde ich hier durchaus angemessen.

[Innuendo]

Der Kunde hat für seinen Anwalt alles bekommen, was er benötigt. Rechtliche Schritte einzuleiten ist jetzt sein Ding.

Und dass jemand mir ans Bein pinkeln will, halte ich für ausgeschlossen. Schon allein aus regionalen Gründen (ich sitze bei Köln, der Kunde auf Rügen und der Angreifer kam aus dem Großraum Kaiserslautern).

[lachesis]

OT: Ich hab mal das Lexacon in meinen Katalog aufgenommen. Ich hoffe Du hast nichts dagegen.

Zu finden unter: Books for free

Grüßle

[Innuendo]

Original geschrieben von lachesis
OT: Ich hab mal das Lexacon in meinen Katalog aufgenommen. Ich hoffe Du hast nichts dagegen.

Mach', wie Du denkst. Nett, dass Du mich wenigstens darauf hingewiesen hast.