Onderwerp: Postbank site

Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
van de postbank:

https://gto.postbank.nl/Melding/GNDH...AHA%3C%2Fh1%3E

Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
aan input validation, het checken van de herkomst van gegevens en SQL
injections etc...

mvrgr, Wouter

--
:wq mail uws@xs4all.nl

but a prophet did once say :: honesty's a lonely word -- incubus

On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:

>Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
>van de postbank:
>
>https://gto.postbank.nl/Melding/GNDH...AHA%3C%2Fh1%3E
>
>Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
>aan input validation, het checken van de herkomst van gegevens en SQL
>injections etc...
>
> mvrgr, Wouter

Het kreng is gewoon gehacked.
Er is een fout opgetreden:
Ongedocumenteerde melding.
31337


h4x0r3d by r1chboy$$$.
t4nx 4 ur m0neeeey!
MUHAHAHA

Ben ik blij dat ik niet bij de postbank zit:-)

mvg
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com

Johnny Bravo <johnny_bravo@>>:
> Het kreng is gewoon gehacked.

Sure

--
robert

Johnny Bravo wrote:

[snip]


> Ben ik blij dat ik niet bij de postbank zit:-)

https://gto.postbank.nl/Melding/GNDH...Je+Geld+Is+Weg

John

--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)

On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
{n.i.w.s}@allyourbass.org.invalid (robert) wrote:

>Johnny Bravo <johnny_bravo@>>:
> > Het kreng is gewoon gehacked.
>
>Sure

h4x0r3d by r1chboy$$$.
t4nx 4 ur m0neeeey!
MUHAHAHA

vertaald:
Hacked by richboy$$$
thanx for you money
MUHAHAHA

mvg
--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com

Johnny Bravo wrote:

> > > Het kreng is gewoon gehacked.
>
> > Sure
>
> h4x0r3d by r1chboy$$$.
> t4nx 4 ur m0neeeey!
> MUHAHAHA
>
> vertaald:
> Hacked by richboy$$$
> thanx for you money
> MUHAHAHA

"God bestaat, dat staat geschreven" :-)

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

On Tue, 15 Jul 2003 17:21:02 +0200, John Bokma
<postmaster@castleamber.com> wrote:

>Johnny Bravo wrote:
>
>[snip]
>
>
>> Ben ik blij dat ik niet bij de postbank zit:-)
>
>https://gto.postbank.nl/Melding/GNDH...Je+Geld+Is+Weg
>
>John
Geen geld, geen zorgen:-)

--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com

Johnny Bravo <johnny_bravo@>>:
> On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
> {n.i.w.s}@allyourbass.org.invalid (robert) wrote:
>
>>Johnny Bravo <johnny_bravo@>>:
>> > Het kreng is gewoon gehacked.
>>
>>Sure
>
> h4x0r3d by r1chboy$$$.

http://tinyurl.com/gzqv

--
robert

On Tue, 15 Jul 2003 15:25:46 +0000 (UTC),
{n.i.w.s}@allyourbass.org.invalid (robert) wrote:

>Johnny Bravo <johnny_bravo@>>:
> > On Tue, 15 Jul 2003 15:15:14 +0000 (UTC),
> > {n.i.w.s}@allyourbass.org.invalid (robert) wrote:
> >
> >>Johnny Bravo <johnny_bravo@>>:
> >> > Het kreng is gewoon gehacked.
> >>
> >>Sure
> >
> > h4x0r3d by r1chboy$$$.
>
>http://tinyurl.com/gzqv

Gelukkig:-)
Dacht al dat het niet gelukt was:-)

--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com

I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
> On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
> Het kreng is gewoon gehacked.

Jahoor... door mij, zojuist.

> Er is een fout opgetreden:
> Ongedocumenteerde melding.
> 31337

Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
goed in het spreken in cijfers), en jij trapt er in :-) DANK!

mvrgr, Wouter

--
:wq mail uws@xs4all.nl

but sometimes :: it's better to lie -- hooverphonic

On Tue, 15 Jul 2003 17:39:31 +0200, uws <uws@xs4all.invalid> wrote:

>I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
>> On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
>> Het kreng is gewoon gehacked.
>
>Jahoor... door mij, zojuist.
>
>> Er is een fout opgetreden:
>> Ongedocumenteerde melding.
>> 31337
>
>Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
>goed in het spreken in cijfers), en jij trapt er in :-) DANK!
>
> mvrgr, Wouter

nx4nx € 10.- tnx

mvg

--
http://portal.kools-online.com
http://www.kools-online.com/4images
http://forum.kools-online.com

uws wrote:
> Erg, maar dan ook heel erg slordig van de heren server-side programmeurs
> van de postbank:
>
> https://gto.postbank.nl/Melding/GNDH...AHA%3C%2Fh1%3E
>
> Who's next? Het wordt tijd dat er eens serieus aandacht besteed wordt
> aan input validation, het checken van de herkomst van gegevens en SQL
> injections etc...

Yup, dit is nl een grote XSS bug:

https://gto.postbank.nl/Melding/GNDH...script%3Ealert(document.cookie)%3C/script%3E

Mark

uws wrote:
> Erg, maar dan ook heel erg slordig van de heren server-side
> programmeurs van de postbank:

Ik snap het geintje, maar kan zoiets ook daadwerkelijk misbruikt worden?

Dit vooral omdat ik een soortgelijk mechanisme zou willen toepassen (in
combinatie met een .htacces) en ik me afvraag wat de veiligheidsrisico's
zijn...
--
Inca

uws wrote:

> I <ll68hvkdg7nt475arpo4m1ag4jmevjl7t8@4ax.com>, Johnny Bravo skrev:
>
>>On Tue, 15 Jul 2003 16:30:27 +0200, uws <uws@xs4all.invalid> wrote:
>>Het kreng is gewoon gehacked.
>
>
> Jahoor... door mij, zojuist.
>
>
>>Er is een fout opgetreden:
>>Ongedocumenteerde melding.
>>31337
>
>
> Ik doe enorm m'n best om een `lamer'-melding te verzinnen (ben niet zo
> goed in het spreken in cijfers), en jij trapt er in :-) DANK!

Het heet 733+, niet 74|\/|3r

74|\/|3r5 zijn mensen die geen 733+ spreken :-)

John

--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)

Inc. A. wrote:

> uws wrote:
>
>>Erg, maar dan ook heel erg slordig van de heren server-side
>>programmeurs van de postbank:
>
>
> Ik snap het geintje, maar kan zoiets ook daadwerkelijk misbruikt worden?

Hangt er vanaf wat je allemaal mee kan geven en wat er mee gedaan wordt.
Als je dingen vlekkeloos overneemt in b.v. een query, een bestandsnaam
aanmaken/uitlezen of het uitvoeren van een commando dan loop je enorme
risico's.

> Dit vooral omdat ik een soortgelijk mechanisme zou willen toepassen (in
> combinatie met een .htacces) en ik me afvraag wat de veiligheidsrisico's
> zijn...

Mail me gerust.

John

--
email: mail(at)johnbokma.com (or reply) home: http://johnbokma.com/
website design tips: http://johnbokma.com/websitedesign/ (preliminary)