• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

Bypassing - Session von HTTP Website 'übernehmen' ?

XsupergurkeX

Neu angemeldet

Registriert
22 Jan. 2017
Beiträge
14
  • Thread Starter Thread Starter
  • #21
Hier ist ja einiges passiert :0
@Metal_Warrior: ich habe mich in meinem Anfangspost etwas falsch ausgedrückt, ich meinte ein Berufskolleg, keine Berufsschule. (Bin schon etwas im Wochenendmodus ^^)
Ich mache zur Zeit mein Fachabi und muss deshalb keine Angst haben, mir meinen Beruflichen Werdegang zu zerstören (Einen möglichen Schulverweis lass ich jetzt mal außen vor. Man muss ja nicht immer vom schlimmsten ausgehen)

Die Schwachstelle zu veröffentlichen klingt vernünftig, allerdings hab ich sie ja noch nicht gefunden.
Dass es Sinn ergibt, die BIOS der Schulrechner mit einem Passwort zu versehen wenn diese überwiegend von Technisch orientierten Klassen genutzt werden kann sich der Admin ja wahrscheinlich auch selbst denken.

Ich werde nächste Woche mal sehen, wie der Webserver auf meinen Lokalen Admin reagiert (wobei ich da nicht viel Hoffnung habe, da JavaScript denke ich nicht die Rechte hat, den Namen des angemeldeten Users auszulesen).
Und was sich auf dem Port so abspielt.
Ich werde dann hier Berichten :)
 

LadyRavenous

in Schwarz
Teammitglied

Registriert
26 Dez. 2016
Beiträge
16.079
Ort
hello world
Dass es Sinn ergibt, die BIOS der Schulrechner mit einem Passwort zu versehen wenn diese überwiegend von Technisch orientierten Klassen genutzt werden kann sich der Admin ja wahrscheinlich auch selbst denken.

Davon würde ich nicht unbedingt ausgehen. Insbesondere bei Schulen scheint nicht jeder Admin Ahnung von der Materie zu haben und selbst dann können Fehler unterlaufen. Lang, lang ists her, als ich in der Schule war. Unser Admin hatte Ahnung, aber hat einmal kein Passwort gesetzt und so konnte man den Lehrerrechner mit nur einem Klick aufs falsche Icon übernehmen und das nächste Mal reichte der Namen der Schule. Mein Vorteil war, dass er das nicht zugeben wollte. Mein Nachteil war, dass ich ihn später als Lehrer hatte. Es kann gut gelöst sein, muss es aber nicht.

MNS+ scheint ein clickie-buntie-Tool zu sein, damit auch Laien es einrichten und bedienen können. Berechtigungen werden über AD verwaltet und das ganze läuft auf einem Windows-Server. Der Proxy nach außen basiert zumindest auf Linux. Heißt MNS+ kann auch nur Windows-Rechner verwalten.

Ich werde dann hier Berichten :)

Ich bin gespannt. Wie gesagt, ich habe dir die rechtliche Seite gezeigt. Du musst es selbst wissen, was du daraus machst.
Stell dir vor, ein zukünftiger Arbeitgeber ruft im Berufskolleg an und will wissen, wie du als Schüler warst. Einmal die Variante mit Schwachstelle aufzeigen und einmal ohne ;)
 
Zuletzt bearbeitet:

werner

Suchtspielmacher (ehm.)

Registriert
20 Juli 2014
Beiträge
743
Ort
Mannheim
Wenn du glaubst, dass das über JS läuft, kannst du es ja mal deaktivieren. Aber ich weiß nicht wie du darauf kommst, dass eine clientseitige Software das entscheidet. Die kannst du nämlich auch einsehen.
 

BurnerR

Bot #0384479

Registriert
20 Juli 2013
Beiträge
5.504
2. Du veröffentlichst die Schwachstelle.
Also nicht sofort. Erstmal dem Admin schreiben, sprich auch noch mit deinen Ausbildern im Betrieb darüber, leg alles offen, was du weißt. Ein guter Ausbilder steht in diesem Fall hinter dir, egal was kommt. Selbst wenn die Schule Konsequenzen fordert, wird er sie abblocken und zurückschießen. Überleg dir, was dieses Vorgehen für Konsequenzen hat. Und denk nicht nur an dein Arbeitszeugnis - die Personaler bzw. potentiellen direkten Vorgesetzten telefonieren vor Einstellung normalerweise mit den alten Vorgesetzten, um sich abseits des geschniegelten Arbeitszeugnisses die ehrliche Meinung abzuholen. Deine Integrität in diesem Fall ist unangetastet, im Gegenteil, sogar gestärkt. Du zeigst, dass du nicht nur Köpfchen, sondern auch Verantwortungsbewusstsein hast - damit stehen dir alle Türen offen. Und im Betrieb kann es gut sein, dass du tatsächlich mal auf die eigenen Server losgelassen wirst - zum Abtesten auf Schwachstellen. Da lernst du mehr, hast auch noch Anleitung und die rechtliche Absicherung von oben.
Das wäre bei uns auch so, aber ich glaube, dass das an vielen Orten ganz anders ist und man auch bei diesem Vorgehen ganz schnell starke Probleme kriegen kann. Würde daher beim geringsten Zweifel immer den Ball ganz flach halten was solche Dinge angeht.
 

drfuture

Zeitreisender
Teammitglied

Registriert
14 Juli 2013
Beiträge
8.730
Ort
in der Zukunft
Frechheit Siegt oft...
Habe in den meisten Schulen den verantwortlichen Lehrer / Admin einfach mal gefragt ob sie meinen das der Schutz den Sie da eingebaut haben Sinnvoll ist / der Funktioniert und was das Ziel davon war... dann kommt man schon ins Gespräch.
Wenn du dann vorher frägst ob es interessant wäre ob du da relativ einfach dran vorbei kommst und wenn ja du ihnen evtl. sogar einen Tipp gibst wie sie es verbessern können - waren bisher die meisten entweder belustigt und meinten *versuchs doch* oder Interessiert - z.B. das auch am Nachmittag außerhalb des Unterrichts zu versuchen - oder man bekommt einen extra PC den man *kaputt* machen darf.

Du darfst nicht vergessen das du durchaus einen Schaden anrichtest - der PC ist im Zweifel nicht mehr in dem Zustand wie er sein sollte -und muss aus Sicher der IT da nicht sichergestellt werden kann das noch andere Dinge im PC kompromittiert wurden - neu installiert werden. Das kann je nach System das vor Ort zu finden ist mehr oder weniger Zeit in Anspruch nehmen - so oder so jedoch unnötige Personalkosten.
Nicht nur du kommst vielleicht auf die Idee so etwas zu versuchen. Somit ist dann irgendwann ein IT'ler nur damit beschäftigt die mehr oder weniger guten Versuche eines Schülers zu beseitigen das System zu umgehen (Nicht ohne Grund gibt es in Schulen oft Systeme die sich beim abschalten auf Ausgangszustand zurück setzen - als Hardwarelösung)

Anhand dieser Doku http://docplayer.org/2227159-2-schu...es-rheinland-pfalz-im-februar-maerz-2010.html und der Herstellerseite ist zu lesen das das ganze auf ActiveDirectory basiert und die Authentifizierung am Proxy per NTLM oder Kerberos passieren wird.
Dafür gibt es durchaus mind. eine sehr bekannte Möglichkeit einen Angriff zu versuchen - nur mit Wireshare kommst du da nicht sonderlich weit und einfach so einen Benutzernamen ändern ebenso nicht. Das geht viel viel weiter.

Eine genaue Anleitung für das Umgehen wird es hier nicht geben. Wenn du zu Teilen des Systems Verständnis-Probleme hast oder fragen wie x,y,z funktioniert sind wir natürlich gerne da und helfen.
 

LadyRavenous

in Schwarz
Teammitglied

Registriert
26 Dez. 2016
Beiträge
16.079
Ort
hello world
Anhand dieser Doku http://docplayer.org/2227159-2-schu...es-rheinland-pfalz-im-februar-maerz-2010.html und der Herstellerseite ist zu lesen das das ganze auf ActiveDirectory basiert und die Authentifizierung am Proxy per NTLM oder Kerberos passieren wird.
Dafür gibt es durchaus mind. eine sehr bekannte Möglichkeit einen Angriff zu versuchen - nur mit Wireshare kommst du da nicht sonderlich weit und einfach so einen Benutzernamen ändern ebenso nicht. Das geht viel viel weiter.

Nachdem ich oben schon AD und Doku erwähnt hab, dacht ich er soll das selbst herausfinden ;) Wenn er es schon überlisten will, dann soll er ruhig ein wenig Hirnschmalz reinstecken.

Mit PC neu installieren hast du vollkommen recht. Somit ist mit dem Admin reden die bessere Lösung. Andererseits wärs amüsant von einem Schulverweis zu lesen, wenn schon das Hafttagebuch gerade nicht aktualisiert wird. Wir wollen doch nicht, dass uns der Stoff ausgeht ;)
 

XsupergurkeX

Neu angemeldet

Registriert
22 Jan. 2017
Beiträge
14
  • Thread Starter Thread Starter
  • #27
Mal ein kleines Update von mir:
Wenn ich den Netzwerkmonitor einschalte, und die Seite aufrufe läuft erst mal eine Inititalisierung durch. Es werden haufenweise GET anfragen abgeschickt, und kurz vor Ende ein paar POST Requests. in Der Anfragekopfzeile ist ein Wert Names 'Authorization', und in der Antwort 'WWW Authorization' (wesentlich länger). Der Authorization Wert ist bei meinem Kumpel allerdings der gleiche und einen veränderten Wert abschicken bringt auch nichts.
Ich hatte mich schon gefreut, weil ich davon ausgegangen war, dass es reichen würde, den Wert vom Lehrer abzugreifen und anschließend zu tauschen. Das war wohl nichts ^^

Ich hab mich mal etwas schlau gemacht, was die angreifbarkeit von AD und Kerberos angeht. Die passabelste Möglichkeit scheint wohl ein PtH versuch zu sein.
Bei den single login Systemen wird der hash ja jedes mal erneut an den Server geschickt, wenn der Lehrer das Modul öffnet.
Ich bin mir dann nur noch nicht im klaren darüber, wie ich den Server dann mit dem abgegriffenen Hash kontaktieren soll.

Ich weiß, ich soll mich selbst anstrengen, aber ich wäre euch echt dankbar, wenn ihr mir sagt, ob ich auf dem Holzweg bin.
Danke auf jeden Fall schon mal für den Tipp mit der Doku und der Authentifizierung.

@drfuture:
Der Schaden hält sich meiner Meinung nach in Grenzen. Es weiß ja niemand, was mit dem Rechner gemacht wurde auf den lokalen Admin hat auch sonst niemand Zugriff. Lange bin ich ohnehin nicht mehr an der Schule. Bevor ich gehe wird der Admin auch gelöscht.
Der Schule entstehen durch mich also keine Kosten oder Wartungsarbeiten.
Ich weiß, eine Schandtat rechtfertigt keine andere, aber du würdest dich wundern, wie viele Schüler schauen, was man alles in den Lüfter stecken muss, bis er aufhört sich zu drehen. Oder aus Langeweile einfach mal die Gehäuse Kaputt brechen.
Da finde ich meinen 'Schaden' eher zu rechtfertigen.
 

alter_Bekannter

N.A.C.J.A.C.

Registriert
14 Juli 2013
Beiträge
4.823
Ort
Midgard
Oh, das alte: jemand anderes macht was schlimmeres Argument!

Prima, da heisst ich kann machen was ich will, weil die Nazis und ISIS schlimmer sind.

Hast du morgen Zeit dir ein paar Zähne ziehen zu lassen? Leute in einem Käfig zu ertränken ist wohl wesentlich schlimmer als Leuten ein paar Zähne zu ziehen.
 

drfuture

Zeitreisender
Teammitglied

Registriert
14 Juli 2013
Beiträge
8.730
Ort
in der Zukunft
*weiß ja niemand*... Das würde stimmen wenn nicht jeder erfolgreiche und nicht erfolgreiche auth. Versuch protokolliert werden würde... da es bei integrierter Authentifizierung keine fehl Logins geben dürfte außer für kurze Zeit in nachweisbaren Konstellationen - so ein Windows Client und Server protokollieren mehr als man denkt :)

Pass the Hash Angriffe kann und sollte man als Serveradmin unterbinden, ist bei kerberos in der Tat kritisch. Ich schaue mal ob ich Zeit finde etwas dazu zu schreiben.
 

alter_Bekannter

N.A.C.J.A.C.

Registriert
14 Juli 2013
Beiträge
4.823
Ort
Midgard
Nicht zu vergessen das es zu automatischen Sperren kömmen könnte.

Ab wann ist das lahmlegen des Netzwerks teurer als einen Lüfter auzutauschen? Nur um bei der Logik zu bleiben....
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
Der Schaden hält sich meiner Meinung nach in Grenzen. Es weiß ja niemand, was mit dem Rechner gemacht wurde auf den lokalen Admin hat auch sonst niemand Zugriff.
Und da grätsche ich dir gleich mal in die Parade und sage: DEINER Meinung. Meiner bescheidenen Meinung nach ist der Schaden immens, sollte es dir gelingen.

Grund: Ein System, in das erfolgreich eingebrochen wurde, ist nicht mehr vertrauenswürdig. Das ist einer der Eckpfeiler der IT-Sicherheit. Gut, der Client, an dem du sitzt, ist nach dieser Regel eh schon verbrannt - drauf geschissen, ist nur ein Client, Aufwand maximal ne halbe Stunde. Du greifst aber jetzt einen Server an. Was glaubst du, was darauf alles läuft? Terminplanungen, Prüfungsorganisation, Notenspiegel, E-Mails, Website, Authentifikation für alle Benutzer, Buchhaltung, Schüler- und Personalverwaltung... Alles nicht mehr vertrauenswürdig, wenn du da einmal mit erhöhten Privilegien drin warst. Lass den Authentifikationshash, den du verwendest, nicht der eines x-beliebigen Lehrers sein, sondern eines Admins, und schon kocht die Scheiße wirklich über. Was mich zum nächsten Punkt bringt:

Der Schule entstehen durch mich also keine Kosten oder Wartungsarbeiten.
Diese Einschätzung könnte falscher nicht sein. Allein um deinen Einbruchsweg nachzuvollziehen, werden mehrere Stunden Fehlersuche ins Land gehen, der Fix wird auch noch ein paar Stunden dauern. Wahrscheinlich muss die Rechtesituation neu überdacht und umgesetzt werden, das kann schon mal ne Woche in Anspruch nehmen, eventuell muss ne externe Firma kommen (die bei Notfallsituationen gerne mal so um die 70-100 Euro die Stunde abrechnen - der Client kostet vielleicht 250 Euro, der Lüfter 5-10, also kannst du damit grade mal 5 Minuten Fremdfirma bezahlen).
Findet man raus, wer das war, wird die Schule ein Exempel statuieren. Würde ich als verantwortlicher Admin auch (allerdings mir auch Gedanken machen, ob ich in dem Job richtig aufgehoben wäre, aber das ist ein anderes Thema). Und keine Sorge, das findet man raus. Das wird auch nicht mehr mit Schulverweis abgehandelt, sondern mit den bereits genannten Paragraphen (Ausspähung von Geheimnissen, Einbruch in Fremdsysteme, "Cyberterrorismus"), sondern auch noch mit versuchter Urkundenfälschung (weil du ja Noten hättest beeinflussen können), Verbreitung von Schadcode (ob du das gemacht hast oder nicht dürfte hinsichtlich der IT-Kenntnisse unserer Gerichte recht egal sein) und ein findiger Jurist wird sicher noch die ein oder andere Sache rauskitzeln, spätestens wenn du auch nur den Hauch einer Chance gehabt haben könntest, aufs Behördennetz zuzugreifen. In zwei oder drei Jahren, wenn das dann alles durchverhandelt ist, stehst du ohne Zeugnis da (weil dir das im Nachhinein als manipuliert aberkannt wird), kannst womöglich selbst ein Hafttagebuch schreiben, wirst die entstandenen Kosten tragen dürfen (und die werden hoch, glaub mir das) und hast einen Eintrag im polizeilichen Führungszeugnis, der dir im Leben jede verantwortungsvolle Position verbaut (sowohl beruflich als auch im Hobby - Mitgliedschaft in einer BOS kannst du dann auch vergessen). Und solltest du tatsächlich dem Behördennetz nahe gekommen sein, unterhältst du dich zusätzlich vielleicht noch mit ein paar netten Beamten vom BND, und da geht es sicher nicht um ein Jobangebot.

Nur zum Verständnis: Ich finde es gut, dass du dich damit auseinander setzt, weil man es für sehr viele gute Zwecke und Ziele einsetzen kann. Was ich allerdings hochgradig bedenklich finde, ist der Mangel an Hirnschmalz, den du in Bezug auf die Konsequenzen deines möglichen Erfolgs an den Tag legst. Und das, obwohl du auf eine weiterführende Schule gehst.

Natürlich musst du nicht auf uns hören. Wir sind ja nur Gestalten in einem Forum, wenngleich mindestens eine dieser Gestalten IT-Sicherheit studiert hat, und mindestens zwei andere selbst (beruflich) Server administrieren, Tendenz in beiden Fällen stark nach oben.
Wie gesagt, geh zum Admin, rede mit ihm, leg die Schwachstellen und deinen vermuteten Angriffsweg offen. Erspart dir ne Menge Ärger und der Schule ne Menge Geld.
 

sia

gesperrt

Registriert
26 März 2015
Beiträge
5.931
Ort
FFM (NSFW)
Und solltest du tatsächlich dem Behördennetz nahe gekommen sein, unterhältst du dich zusätzlich vielleicht noch mit ein paar netten Beamten vom BND, und da geht es sicher nicht um ein Jobangebot.
Vermutlich eher das LKA/BKA, was aber nicht minder unangenehm wird. Der BND ist ein Auslandsgeheimdienst. Schlimmstenfalls kommt das Bundesamt für Verfassungsschutz, die sind vermutlich mindestens genauso unangenehm wie der BND.

Nur zum Verständnis: Ich finde es gut, dass du dich damit auseinander setzt, weil man es für sehr viele gute Zwecke und Ziele einsetzen kann. Was ich allerdings hochgradig bedenklich finde, ist der Mangel an Hirnschmalz, den du in Bezug auf die Konsequenzen deines möglichen Erfolgs an den Tag legst. Und das, obwohl du auf eine weiterführende Schule gehst.

Natürlich musst du nicht auf uns hören. Wir sind ja nur Gestalten in einem Forum, wenngleich mindestens eine dieser Gestalten IT-Sicherheit studiert hat, und mindestens zwei andere selbst (beruflich) Server administrieren, Tendenz in beiden Fällen stark nach oben.
Wie gesagt, geh zum Admin, rede mit ihm, leg die Schwachstellen und deinen vermuteten Angriffsweg offen. Erspart dir ne Menge Ärger und der Schule ne Menge Geld.
Kann ich so unterschreiben und hätte ich selbst nicht besser ausdrücken können.

Insbesondere da ich mitbekommen habe, wie ein Bekannter wegen einem Angriff auf ein Schulnetz, der nicht ganz so weit ging, schon einige rechtliche Konsequenzen tragen musste. Sozialstunden und eine recht hohe Geldstrafe waren da noch das Angenehmste, seine Schullaufbahn war dann auch nicht mehr wirklich einwandfrei…
 

XsupergurkeX

Neu angemeldet

Registriert
22 Jan. 2017
Beiträge
14
  • Thread Starter Thread Starter
  • #33
Okay Leute,
ich werde das ganze sein lassen. Was soll ich noch groß schreiben, ihr habt einfach Recht, und die Sache ists wohl echt nicht wert.
Ich wollte ja eigentlich nur eine kleine Lücke finden, womit ich selbst das Request wegschicken kann, was die Freigabe erteilt.
Aber wie ihr schon gesagt habt, das geht alles viel weiter, und das ist es dann echt nicht Wert.

Danke auf jeden Fall für eure Hilfe / Diskussion bis hierhin, hat echt Spaß gemacht.
Das Hafttagebuch schreiben überlasse ich da besser den BeSure ^^
Der Thread kann wegen meiner geschlossen werden.
 
Zuletzt bearbeitet:

drfuture

Zeitreisender
Teammitglied

Registriert
14 Juli 2013
Beiträge
8.730
Ort
in der Zukunft
Du kannst dir ja jederzeit daheim einfach mal einen Server installieren und so etwas probieren wenn dich das Thema interessiert....
 
Oben