Nieuws
image

NU.nl was lek

woensdag 13 februari 2002, 09:15 door Redactie, 16 reacties

Remy schrijft: NU.nl was tot maandagmiddag 13:35 kwetsbaar voor cross site scripting, na contact gehad te hebben met de redactie is het probleem vrijwel meteen verholpen.
het probleem zat hem in het script 'document?n='. Alles is verholpen en weer wat gegevens veilig gesteld. Petje af voor snelle respons en correctie door 'Robert' van
NU.nl. Hieraan mogen meerdere "admins" een voorbeeld aan nemen. Inderdaad een snelle actie van NU.nl, maar voorkomen is natuurlijk altijd beter dan genezen.

Reacties (16)
13-02-2002, 09:55 door Anoniem
http://www.microsoft.com&item%3Dq209354@212.254.206.213/original.html

Ik heb dit 'ontdekt' mag ik nu ook een artikeltje hier?
13-02-2002, 10:02 door Anoniem
http://nu.nl/<h1>h4x0red</h1>

is nog niet helemaal protected, eh?
13-02-2002, 10:26 door Anoniem
Hoi,

Hmmmm...dit was al heeeeeeeeeeeel lang bekend...Maar goed..heel goed gevonden Remy :-) Heel goed! (maar niet heus)

ScreamOnline
Scream On The Internet!
[email]ScreamOnl@hotmail.com[/email]
13-02-2002, 11:06 door Anoniem
Originally posted by
Hoi,

Hmmmm...dit was al heeeeeeeeeeeel lang bekend...Maar goed..heel goed gevonden Remy :-) Heel goed! (maar niet heus)

ScreamOnline
Scream On The Internet!
[email]ScreamOnl@hotmail.com[/email]
Ola Scream, vrijdag de 22e gaan we stappen.

Anyway, een paar weken geleden hadden boze studenten al een artikel gepost waarin de directeur van Stichting Brein als Kinderporno verzamelaar werd beschreven in een artikel in huisstijl van nu.nl, en je raad het al.... de url begon met nu.nl...
13-02-2002, 11:07 door Anoniem
Originally posted by
Hmmmm...dit was al heeeeeeeeeeeel lang bekend...Maar goed..heel goed gevonden Remy :-) Heel goed! (maar niet heus)
[/B]

Als het zo lang bekend was waarom heeft er niemand eerder een melding gedaan ?
Het lijkt mij vanzelf sprekend dat wanneer zo iets dergelijks wordt ontdekt dat de mensen die het beheer ervan doen op de hoogte horen gesteld te worden inplaats van eeuwig zwijgen en wachten totdat er misbruik van gemaakt wordt.
Het is jammer dat er niet meer mensen zich inzetten om daar waar de fouten zijn ze aan te tonen , en een eventuele oplossing aan te bieden
jammer ... jammer.... jammer... maar helaas is de mentaliteit van hedendaagse mensen omgekeerd en we houden onze koppen dicht .. en wachten op misbruik ...
13-02-2002, 12:31 door Anoniem
Originally posted by


Als het zo lang bekend was waarom heeft er niemand eerder een melding gedaan ?

---> knip

jammer ... jammer.... jammer... maar helaas is de mentaliteit van hedendaagse mensen omgekeerd en we houden onze koppen dicht .. en wachten op misbruik ...

Als beheerder gewoon zijn log files zou greppen op niet normale entries, of uberhaupt ze logfiles zou bekijken zou hij het allang door gehad hebben.

Je kan moeilijk aan de wereld vragen je security te controleren, afgezien dat bij wet verboden kan zijn, hebben mensen betere dingen te doen.
13-02-2002, 12:51 door Anoniem
Originally posted by


Als het zo lang bekend was waarom heeft er niemand eerder een melding gedaan ?
Het lijkt mij vanzelf sprekend dat wanneer zo iets dergelijks wordt ontdekt dat de mensen die het beheer ervan doen op de hoogte horen gesteld te worden inplaats van eeuwig zwijgen en wachten totdat er misbruik van gemaakt wordt.
Het is jammer dat er niet meer mensen zich inzetten om daar waar de fouten zijn ze aan te tonen , en een eventuele oplossing aan te bieden
jammer ... jammer.... jammer... maar helaas is de mentaliteit van hedendaagse mensen omgekeerd en we houden onze koppen dicht .. en wachten op misbruik ...

Tja als ik er betaald voor zou krijgen... Ik kan toch niet continue iedereen op de hoogte blijven houden.. weet je wel niet hoeveel sites lek zijn met die stomme CSS bug ?

Trouwens verstappen blijft ook bij arrows:
http://www.arrows.com/default.php?fileName=%68%74%74%70%3a%2f%2f%77%77%77%2e%68%65%6b%6e%65%74%2e%63%6f%6d%2f%6a%76%2e%68%74%6d%6c

grt marshal
13-02-2002, 12:54 door Anoniem
Originally posted by


Tja als ik er betaald voor zou krijgen... Ik kan toch niet continue iedereen op de hoogte blijven houden.. weet je wel niet hoeveel sites lek zijn met die stomme CSS bug ?

Trouwens verstappen blijft ook bij arrows:
http://www.arrows.com/default.php?fileName=%68%74%74%70%3a%2f%2f%77%77%77%2e%68%65%6b%6e%65%74%2e%63%6f%6d%2f%6a%76%2e%68%74%6d%6c

grt marshal

mmhh security.nl heeft de url bij het posten aangepast..
ga dan maar gewoon direct naar http://www.heknet.com/jv.html en dan kom je vanzelf op de arrows site.

grt marshal
13-02-2002, 13:01 door Anoniem
Originally posted by vertigo2k
http://nu.nl/<h1>h4x0red</h1>

is nog niet helemaal protected, eh?

Maar nu wel :)
13-02-2002, 13:55 door Anoniem
Originally posted by


Als beheerder gewoon zijn log files zou greppen op niet normale entries, of uberhaupt ze logfiles zou bekijken zou hij het allang door gehad hebben.

Je kan moeilijk aan de wereld vragen je security te controleren, afgezien dat bij wet verboden kan zijn, hebben mensen betere dingen te doen.
----------------
Wat bedoel je 'grep abnormale entries' ;-)

Nee lijkt me meer een taak voor de developers, zorgen dat je scripts deugen.

jb
13-02-2002, 15:40 door Anoniem
Originally posted by

----------------
Wat bedoel je 'grep abnormale entries' ;-)

Nee lijkt me meer een taak voor de developers, zorgen dat je scripts deugen.

jb


tail -f /var/log/httpd/error_log

grep @ /var/log/httpd/access_log
13-02-2002, 16:54 door Anoniem
ik vind dit niet echt nieuws, bijna elke grote site is kwetsbaar voor dit soort dingen. In de laatste paar dagen gevonden:
volkskrant,tucows,sunstore,yahooligans, die ene site die zo'n mooi artikel had over css vulnerabilities maar waarvan ik de naam ben vergeten enz.
13-02-2002, 21:53 door Anoniem
Originally posted by Nu
ik vind dit niet echt nieuws, bijna elke grote site is kwetsbaar voor dit soort dingen. In de laatste paar dagen gevonden:
volkskrant,tucows,sunstore,yahooligans, die ene site die zo'n mooi artikel had over css vulnerabilities maar waarvan ik de naam ben vergeten enz.

wat kan je er nou eigenlijk mee bereiken?dat een url naar een andere server verwijst..wow, hooguit een login neerzetten..

zo groot is dit allemaal niet
13-02-2002, 22:22 door Anoniem
Originally posted by


wat kan je er nou eigenlijk mee bereiken?dat een url naar een andere server verwijst..wow, hooguit een login neerzetten..

zo groot is dit allemaal niet

dat zei ik eerst ook maar de mogelijkheden zijn nog wat groter, cookies stelen e.d.
18-02-2002, 13:40 door Anoniem
Originally posted by
Hoi,

Hmmmm...dit was al heeeeeeeeeeeel lang bekend...Maar goed..heel goed gevonden Remy :-) Heel goed! (maar niet heus)

ScreamOnline
Scream On The Internet!
[email]ScreamOnl@hotmail.com[/email]

grote bek van hier tot gunderd die gozer heb misschien in 2 tellen die bug gevonden voor zover je dat bug ken noemen ja dan nee hij heb um gevonden en het feit dat ie die bug gemeld heeft maakt die gozer voor mij stukken betrouwbaarder en aardiger dan jij.. misschien was het de eerste keer dat ie ging kijke op nu.nl voor vulnerabilities? hij heeft het in ieder geval gemeld en het feit dat nu.nl de zaak gedicht heeft wil zeggen dat ze er nog niet eerder van gehoord hebben.. en dan jij een grote bek hebben over iemand anders? ik wed dat je je achterste nog niet ken beveiligen.. HOMO !
26-02-2002, 09:47 door Anoniem
Originally posted by


grote bek van hier tot gunderd die gozer heb misschien in 2 tellen die bug gevonden voor zover je dat bug ken noemen ja dan nee hij heb um gevonden en het feit dat ie die bug gemeld heeft maakt die gozer voor mij stukken betrouwbaarder en aardiger dan jij.. misschien was het de eerste keer dat ie ging kijke op nu.nl voor vulnerabilities? hij heeft het in ieder geval gemeld en het feit dat nu.nl de zaak gedicht heeft wil zeggen dat ze er nog niet eerder van gehoord hebben.. en dan jij een grote bek hebben over iemand anders? ik wed dat je je achterste nog niet ken beveiligen.. HOMO !

Idd was deze ScreamOnl niet voorheen bekend als dimitri ? =P
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure