Sicherheitsleck im VMS?

[KiLLzOnE]

Der BUG kam bei mir auch vor.
User haben einfach eine File erstellt und einen Banner unter Werbung buchen eingebucht.
Dieser Banner verlinkte dann auf diese File.
Durch den Klick auf diesem Banner überweist man automatisch an den in der File angegebenen Account.

Lösung:

Evtl. sollte jmd. das so proggen, das man bei einer Überweisung einen Sicherheitscode angeben muss.

Denke das ist das einfachste.

[Gremlin]

Evtl. sollte jmd. das so proggen, das man bei einer Überweisung einen Sicherheitscode angeben muss.

Hier mal paar Schnippsel die nützlich sind, vllt. kann es ja einer schnell fertig machen, weil ich noch anderweitig beschäftigt bin:

<?
/* Captchacode By Gremlin */

header("Content-type: image/png");
$pin = rand(100,999); 
session_start();
$_SESSION['captcha'] = $pin;  
$image = imagecreatetruecolor(90,40);
$color = ImageColorAllocate($image, 255, 255, 255);
$color1 = ImageColorAllocate ($image, 000, 000, 255);
$color2 = ImageColorAllocate($image, 000, 255, 000);
$color3 = ImageColorAllocate ($image, 255, 000, 000);
$color4 = ImageColorAllocate ($image, 255, 255, 000);
imageline($image, 0, 0, 20, 25, $color1);
imageline($image, 0, 0, 75, 15, $color2);
imageline($image, 65, 0, 0, 70, $color3);
imagestring ($image, 5, 25, 10, $pin, $color);
imageline($image, 10, 0, 500, 220, $color4);
imagepng($image);
?>

Das dann speichern als captcha.php und einbinden mit <img src="captcha.php"> dann noch an geeigneter Stelle ein Formularfeld einbauen

<input type="text" name="captcha_user"> 

Und vor dem ausführen der Überweisung prüfen:

<?
if ($_POST['captcha_user'] == $_SESSION['captcha']{

FÜHRE DIE ÜBERWEISUNG AUS

}else{
echo 'Sicherheitscode falsch eingegeben!';
}
?>

Ich hoffe es kann einer fertig machen

Gruß
Gremlin

[KiLLzOnE]

Cool, das wäre echt klasse wenn das jmd. fertig bastelt.

[Zement]

Könnte mir bitte ejmand den Quellcode der transfer.php an zahnahlskaries[--at--]web.de schicken, werde gerne mal draufschauen und eine Lösung bringen, die ohne das PW funktioniert.

[Aloaman]

@zement

Hab dir die transfer.php per Mail geschickt

[Zement]

Original von Aloaman
@zement

Hab dir die transfer.php per Mail geschickt

Ok, also die Daten werden via Post übergeben, also kommt man mit einem 0815 Script nciht weiter, da muß man sich schon mal richitg dransetzen um das zu knacken.

[Gremlin]

Naja Zement hab gegooglet, und bin auf eine Seite gestoßen, wo eine funktion erstellt wurde, mit der man ganz leicht einen POST Request simulieren kann Deshalb wäre die Möglichkeit mit dem Captchacode die einfachste

[Murdoch]

jo habe das Problem heute Nacht auch gehabt, also habe ich das Überweisungs Addon erstmal runtergenommen. Sollten alle machen die das Addon drinne haben