Bekijk Volledige Versie : Postbank site
Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
van de postbank:
https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=%3Ch1%3Eh4x0r3d+by+r1chboy%24%24%24.% 3C%2Fh1%3E%3Ch1%3Et4nx+4+ur+m0neeeey%21%3C%2Fh1%3E %3Ch1%3EMUHAHAHA%3C%2Fh1%3E
Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
aan input validation, het checken van de herkomst van gegevens en SQL
injections etc...
mvrgr, Wouter
--
:wq mail uws@xs4all.nl
but a prophet did once say :: honesty's a lonely word -- incubus
Johnny Bravo
15/07/03, 17:20
On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
>Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
>van de postbank:
>
>https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=%3Ch1%3Eh4x0r3d+by+r1chboy%24%24%24.% 3C%2Fh1%3E%3Ch1%3Et4nx+4+ur+m0neeeey%21%3C%2Fh1%3E %3Ch1%3EMUHAHAHA%3C%2Fh1%3E
>
>Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
>aan input validation, het checken van de herkomst van gegevens en SQL
>injections etc...
>
> mvrgr, Wouter
Het kreng is gewoon gehacked.
Er is een fout opgetreden:
Ongedocumenteerde melding.
31337
h4x0r3d by r1chboy$$$.
t4nx 4 ur m0neeeey!
MUHAHAHA
Ben ik blij dat ik niet bij de postbank zit:-)
mvg
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com
Johnny Bravo <johnny_bravo@>>:
> Het kreng is gewoon gehacked.
Sure ;)
--
robert
John Bokma
15/07/03, 17:35
Johnny Bravo wrote:
[snip]
> Ben ik blij dat ik niet bij de postbank zit:-)
https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=Hoi+Bravo+Je+Geld+Is+Weg
John
--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)
Johnny Bravo
15/07/03, 17:35
On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
{n.i.w.s}@allyourbass.org.invalid (robert) wrote:
>Johnny Bravo <johnny_bravo@>>:
> > Het kreng is gewoon gehacked.
>
>Sure ;)
h4x0r3d by r1chboy$$$.
t4nx 4 ur m0neeeey!
MUHAHAHA
vertaald:
Hacked by richboy$$$
thanx for you money
MUHAHAHA
mvg
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com
Maarten Wierda
15/07/03, 17:35
Johnny Bravo wrote:
> > > Het kreng is gewoon gehacked.
>
> > Sure ;)
>
> h4x0r3d by r1chboy$$$.
> t4nx 4 ur m0neeeey!
> MUHAHAHA
>
> vertaald:
> Hacked by richboy$$$
> thanx for you money
> MUHAHAHA
"God bestaat, dat staat geschreven" :-)
--
Cheers, Maarten Wierda
"Music is first, lyrics are secondary."
Johnny Bravo
15/07/03, 17:35
On Tue, 15 Jul 2003 17:21:02 +0200, John Bokma
<postmaster@castleamber.com> wrote:
>Johnny Bravo wrote:
>
>[snip]
>
>
>> Ben ik blij dat ik niet bij de postbank zit:-)
>
>https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=Hoi+Bravo+Je+Geld+Is+Weg
>
>John
Geen geld, geen zorgen:-)
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com
Johnny Bravo <johnny_bravo@>>:
> On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
> {n.i.w.s}@allyourbass.org.invalid (robert) wrote:
>
>>Johnny Bravo <johnny_bravo@>>:
>> > Het kreng is gewoon gehacked.
>>
>>Sure ;)
>
> h4x0r3d by r1chboy$$$.
http://tinyurl.com/gzqv
--
robert
Johnny Bravo
15/07/03, 17:35
On Tue, 15 Jul 2003 15:25:46 +0000 (UTC),
{n.i.w.s}@allyourbass.org.invalid (robert) wrote:
>Johnny Bravo <johnny_bravo@>>:
> > On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
> > {n.i.w.s}@allyourbass.org.invalid (robert) wrote:
> >
> >>Johnny Bravo <johnny_bravo@>>:
> >> > Het kreng is gewoon gehacked.
> >>
> >>Sure ;)
> >
> > h4x0r3d by r1chboy$$$.
>
>http://tinyurl.com/gzqv
Gelukkig:-)
Dacht al dat het niet gelukt was:-)
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com
I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
> On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
> Het kreng is gewoon gehacked.
Jahoor... door mij, zojuist.
> Er is een fout opgetreden:
> Ongedocumenteerde melding.
> 31337
Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
goed in het spreken in cijfers), en jij trapt er in :-) DANK!
mvrgr, Wouter
--
:wq mail uws@xs4all.nl
but sometimes :: it's better to lie -- hooverphonic
Johnny Bravo
15/07/03, 17:50
On Tue, 15 Jul 2003 17:39:31 +0200, uws <uws@xs4all.invalid> wrote:
>I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
>> On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
>> Het kreng is gewoon gehacked.
>
>Jahoor... door mij, zojuist.
>
>> Er is een fout opgetreden:
>> Ongedocumenteerde melding.
>> 31337
>
>Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
>goed in het spreken in cijfers), en jij trapt er in :-) DANK!
>
> mvrgr, Wouter
nx4nx € 10.- tnx
mvg
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com
uws wrote:
> Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
> van de postbank:
>
> https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=%3Ch1%3Eh4x0r3d+by+r1chboy%24%24%24.% 3C%2Fh1%3E%3Ch1%3Et4nx+4+ur+m0neeeey%21%3C%2Fh1%3E %3Ch1%3EMUHAHAHA%3C%2Fh1%3E
>
> Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
> aan input validation, het checken van de herkomst van gegevens en SQL
> injections etc...
Yup, dit is nl een grote XSS bug:
https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=%3Cscript%3Ealert(do cument.cookie)%3C/script%3E
Mark
uws wrote:
> Erg, maar dan ook heel erg slordig van de heren server-side
> programmeurs van de postbank:
Ik snap het geintje, maar kan zoiets ook daadwerkelijk misbruikt worden?
Dit vooral omdat ik een soortgelijk mechanisme zou willen toepassen (in
combinatie met een .htacces) en ik me afvraag wat de veiligheidsrisico's
zijn...
--
Inca
John Bokma
15/07/03, 18:35
uws wrote:
> I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
>
>>On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
>>Het kreng is gewoon gehacked.
>
>
> Jahoor... door mij, zojuist.
>
>
>>Er is een fout opgetreden:
>>Ongedocumenteerde melding.
>>31337
>
>
> Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
> goed in het spreken in cijfers), en jij trapt er in :-) DANK!
Het heet 733+, niet 74|\/|3r
74|\/|3r5 zijn mensen die geen 733+ spreken :-)
John
--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)
John Bokma
15/07/03, 18:35
Inc. A. wrote:
> uws wrote:
>
>>Erg, maar dan ook heel erg slordig van de heren server-side
>>programmeurs van de postbank:
>
>
> Ik snap het geintje, maar kan zoiets ook daadwerkelijk misbruikt worden?
Hangt er vanaf wat je allemaal mee kan geven en wat er mee gedaan wordt.
Als je dingen vlekkeloos overneemt in b.v. een query, een bestandsnaam
aanmaken/uitlezen of het uitvoeren van een commando dan loop je enorme
risico's.
> Dit vooral omdat ik een soortgelijk mechanisme zou willen toepassen (in
> combinatie met een .htacces) en ik me afvraag wat de veiligheidsrisico's
> zijn...
Mail me gerust.
John
--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)
Jan Ehrhardt
15/07/03, 18:35
John Bokma in nl.internet.www.server-side (Tue, 15 Jul 2003 18:29:21
+0200):
>Inc. A. wrote:
>
>> Dit vooral omdat ik een soortgelijk mechanisme zou willen toepassen (in
>> combinatie met een .htacces) en ik me afvraag wat de veiligheidsrisico's
>> zijn...
>
>Mail me gerust.
Huh? Mogen wij niet meegenieten?
Jan
--
Look, Ma. No tables - http://www.steenbergen-stichting.nl/enbio.html
Onno Geerdink
15/07/03, 20:05
> Ik snap het geintje, maar kan zoiets ook daadwerkelijk misbruikt worden?
In zoverre, men kan via een pagina op de url van de postbank een eigen
pagina neerzetten. Iemand draaide al een javascript, als die een <iframe
style='display:none;' src='nep_site.html'></iframe> oid neerzet kan ie een
extern bestand onzichtbaar in de pagina inladen en je bv je girotel pincode
laten invoeren, stuur iemand een e-mail dat zogenaamd van de postbank afkomt
dat ie daar iets moet doen (bv aangeven dat ie gratis meer rente ontvangt
ofzo of zijn bankafschriften als PDF kan downloaden) enz.
Als je dan iemand schermpjes laat zien zoals de normale site eruit ziet gaat
ie inloggen (wat je 1 op 1 doorzend aan de echte website) etc.
Kan dus voor bedrog gebruikt worden die wel heel ver gaat....bij de rabobank
zeggen ze ook altijd dat je moet opletten dat er www.rabobank.nl in de
urlbalk staat, maar via deze hack staat er ook postbank.nl
Met deze url krijg ik nog wel een foutmelding omdat de externe URL geen
https heeft, maar
https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=%3ciframe%20wi
dth%3d100%25%20height%3d100%25%20src%3dhttp%3a%2f% 2fwww%2eselious%2ecom%3e
Als je dus een ssl cert hebt (heb ik niet voor mijn eigen website) dan kan
je er neerzetten wat je wil. Je kunt ook met document.body.innerHTML de
orginele output wissen enzo...
LOL, dit zit morgen vast dicht, of heeft niemand ze gemailed ?
John Bokma
15/07/03, 20:20
Onno Geerdink wrote:
[snip]
> https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=%3ciframe%20wi
> dth%3d100%25%20height%3d100%25%20src%3dhttp%3a%2f% 2fwww%2eselious%2ecom%3e
Ah, selious :-). Nu begrijp ik al die frustraties in niwo. 1997/12/20
:-) De uitvinder van de killfile lol.
John
--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)
Onno Geerdink
15/07/03, 20:35
> Ah, selious :-). Nu begrijp ik al die frustraties in niwo. 1997/12/20
> :-) De uitvinder van de killfile lol.
Was al bang dat je het vergeten was, lol. Tja, nu iedereen gestoord is op
usenet hoef ik ook niet meer stiekem te doen, LOL. Iedereen mag weten wie ik
ben....
John Bokma
15/07/03, 20:50
Onno Geerdink wrote:
[snip]
> Was al bang dat je het vergeten was, lol. Tja, nu iedereen gestoord is op
> usenet hoef ik ook niet meer stiekem te doen, LOL. Iedereen mag weten wie ik
> ben....
Ik was het vergeten (tenminste de link tussen jou en die posting, die
ene posting zal bij nogal wat mensen zijn blijven hangen). Net een wat
minder leuk berichtje van mij in niwo gecancelt, omdat ik het wel een
hele erge oude koe vind. 'k wist echt niet wie je was. Overigens, je
schreef "normen en waarden" en lees eens terug wat je toendertijd
allemaal schreef :-) Volgens mij was ik jou aan het flamen en niet
andersom...
Oja, en ik geloof best dat je dat programma gezien hebt, nogmaals, maar
ik kan mij niet voorstellen dat het door spammers echt gebruikt wordt
(dus emailadressen uit plaatjes halen).
John
--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)
Niels Basjes
16/07/03, 10:35
On Tue, 15 Jul 2003 17:17:11 +0200 the lifeform known as Johnny Bravo
<johnny_bravo@> wrote:
>>Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
>>van de postbank:
>>
>>https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=31337&MeldingTekst=%3Ch1%3Eh4x0r3d+by+r1chboy%24%24%24.% 3C%2Fh1%3E%3Ch1%3Et4nx+4+ur+m0neeeey%21%3C%2Fh1%3E %3Ch1%3EMUHAHAHA%3C%2Fh1%3E
>>
>>Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
>>aan input validation, het checken van de herkomst van gegevens en SQL
>>injections etc...
Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
>Het kreng is gewoon gehacked.
LOL, je hebt er duidelijk echt niets van begrepen.
Laat ik hem ook eens hacken
https://gto.postbank.nl/Melding/GNDH0343_Melding.html?Melding=12345&MeldingTekst=Valt+het+kwartje+...
--
Best regards,
Niels.
================================================== =====================
| Drs. ir. Niels Basjes | National Aerospace Laboratory | _ |
| Phone : +31-20-5113381 | Anthony Fokkerweg 2 | / |
| Fax : +31-20-5113210 | 1059 CM Amsterdam |(NLR)|
| E-Mail@NLR : Basjes@NLR,nl | The Netherlands | _/ |
| E-Mail@Home : Niels@Basjes,nl | http://www.nlr.nl | |
================================================== =====================
Spam block : Replace the , with a .
I <3f1e0b27.177120355@news>, Niels Basjes skrev:
> Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
Deze bewuste pagina wel. Maar je wilt niet weten hoeveel sites er
vulnerable zijn door SQL injections en ontbrekende input validation.
Sterker nog, de mainpage van Plone is zelfs te voorzien van een eigen
melding.
mvrgr, Wouter
--
:wq mail uws@xs4all.nl
i know :: the past will catch you up as you run faster -- placebo
uws wrote:
> I <3f1e0b27.177120355@news>, Niels Basjes skrev:
>> Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
>
> Deze bewuste pagina wel. Maar je wilt niet weten hoeveel sites er
> vulnerable zijn door SQL injections en ontbrekende input validation.
Dat kan wel zijn, maar als postbank koekjes gebruikt dan is de site dus
kwetsbaar voor XSS en dat is ongeveer net zo erg.
Mark
Niels Basjes
17/07/03, 14:50
On 17 Jul 2003 12:33:39 GMT the lifeform known as Marcus
<mark@ijbema.xs4all.nl> wrote:
>>> Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
>> Deze bewuste pagina wel. Maar je wilt niet weten hoeveel sites er
>> vulnerable zijn door SQL injections en ontbrekende input validation.
>Dat kan wel zijn, maar als postbank koekjes gebruikt dan is de site dus
>kwetsbaar voor XSS en dat is ongeveer net zo erg.
Wat is XSS ?
--
Best regards,
Niels.
================================================== =====================
| Drs. ir. Niels Basjes | National Aerospace Laboratory | _ |
| Phone : +31-20-5113381 | Anthony Fokkerweg 2 | / |
| Fax : +31-20-5113210 | 1059 CM Amsterdam |(NLR)|
| E-Mail@NLR : Basjes@NLR,nl | The Netherlands | _/ |
| E-Mail@Home : Niels@Basjes,nl | http://www.nlr.nl | |
================================================== =====================
Spam block : Replace the , with a .
I <3f179966.279317307@news>, Niels Basjes skrev:
> On 17 Jul 2003 12:33:39 GMT the lifeform known as Marcus
><mark@ijbema.xs4all.nl> wrote:
>>>> Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
>>> Deze bewuste pagina wel. Maar je wilt niet weten hoeveel sites er
>>> vulnerable zijn door SQL injections en ontbrekende input validation.
>>Dat kan wel zijn, maar als postbank koekjes gebruikt dan is de site dus
>>kwetsbaar voor XSS en dat is ongeveer net zo erg.
> Wat is XSS ?
Cross Site Scripting.
mvrgr, Wouter
--
:wq mail uws@xs4all.nl
you're a carbon kid with a sinister diagram -- alpinestars/brian molko
Niels Basjes wrote:
> On 17 Jul 2003 12:33:39 GMT the lifeform known as Marcus
><mark@ijbema.xs4all.nl> wrote:
>
>>>> Onzin, dit is gewoon een pagina die wat tekst op het scherm zet.
>
>>> Deze bewuste pagina wel. Maar je wilt niet weten hoeveel sites er
>>> vulnerable zijn door SQL injections en ontbrekende input validation.
>
>>Dat kan wel zijn, maar als postbank koekjes gebruikt dan is de site dus
>>kwetsbaar voor XSS en dat is ongeveer net zo erg.
>
> Wat is XSS ?
Cross site scripting, waarmee je met een combinatie van een JavaScript en een
serverside script dingen onder andermans account kan doen.
http://www.l0t3k.org/biblio/xss/english/xss-faq.txt
Mark