Meldung: XSS Attack

[Maxi]

Hallo,

in ganz unregelmäßigen Abständen bekomme ich E-Mails, deren Betreff lautet mf-89.com : XSS Attack mit meinem Namen und meiner E-Mail-Adresse als Absender.

Hat das irgendwas zu bedeuten, versucht da jemand meine Homepage zu hacken? Oder ist das nur blöder Spam in ner (für mich) neuen Form?

 

[w7]

Hmm... vllt ist deine Webseite geknackt und kann als Spamserver benutzt werden und derjenige der sie geknackt hat, sagt es dir auf die höfliche Art.

 

[Maxi]

Hmm... vllt ist deine Webseite geknackt und kann als Spamserver benutzt werden und derjenige der sie geknackt hat, sagt es dir auf die höfliche Art.

Und wie kann ich feststellen ob das so ist?
Schau mal da: http://mf-89.com/upload/attack.txt das ist die E-Mail, die ich heute gleich 7 (!) mal bekomman habe. Früher hab ich die auch schon mal bekommen, zwei tage lang je 4 mal, aber einen Monat lang gar nicht...

 

[m0sT]

Benutzt du vielleicht ein CMS?
Eventuell schickt dieses CMS eine eMail an
den Admin, wenn eine XSS-Attacke festgestellt werden konnte?!

 

[Maxi]

Benutzt du vielleicht ein CMS?
Eventuell schickt dieses CMS eine eMail an
den Admin, wenn eine XSS-Attacke festgestellt werden konnte?!

Ja, ich nutze ein CMS.
Und was ist diese XSS-Attacke genau? Versucht dann jemand Zugriff auf meinen Admin-Bereich zu bekommen?

 

[boehseronkel]

Ja, ich nutze ein CMS.
Und was ist diese XSS-Attacke genau? Versucht dann jemand Zugriff auf meinen Admin-Bereich zu bekommen?

Nicht versuchen sondern ich befürchte fast, er/sie hat Zugriff auf den Bereich. Eine XSS-Attacke ist ein Cross Site Scripting. Kurz gesagt, einschläusen von Fremdcode in Formulare o. globale Variablen etc. Das ist sehr oft bei phpnuke CMS´s. Schau mal hier:Cross-Site Scripting - Wikipedia Da findest Du mehr Informationen.

Gruß Sven

 

[Maxi]

Nicht versuchen sondern ich befürchte fast, er/sie hat Zugriff auf den Bereich.

:sad: Würde es helfen, wenn ich einfach mein Admin-Passwort ändere oder würde das nichts nutzen?

 

[Web_spider]

naja vorerst wahrscheinlich schon, aber wenn er was hat, musst du die Ursache finden.

MfG

Web_spider

 

[Maxi]

naja vorerst wahrscheinlich schon, aber wenn er was hat, musst du die Ursache finden.

Also, ich habs jetzt mal geändert, hoffentlich bringts wenigstens etwas...
ich hab außerdem mal im Contrexx-Forum nachgefragt, vielleicht können die mir da genau sagen, ob ich mir diese Sorgen wirklich machen muss und ob ich gehacked wurde...

 

[Web_spider]

Ich weiß ja nicht, ob das vll. nur eine Einschüchterung ist.
Sag mal hast du Logdateien, als Beispiel von der MySQL Datenbank, dann kannste erstmal ausschließen, dass keine SQL-Injection hattest. Wenn du einen Rootserver besitzt sollte so gut wie alles Protokolliert werden, und wenn nicht meld dich vll. mal an deinen Hoster.

Obwohl ich vermute diese Emails werden von deinem CMS geschickt an dich, jedes mal wenn das Script vermutet, dass eine XSS Attacke auf deine Website ausgeführt wurde. Deswegen muss es noch gar nicht sein, dass du schon gehackt wurdest.

MfG

Web_spider

 

[Maxi]

Also, um ganz sicher zu gehen hab ich die Mail jetzt an meinen Webspace-Anbieter weitergeleitet und auch bei Contrexx nachgefragt. Mein Passwort ist auch geändert. Sobald ich was erfahre lass ichs euch natürlich wissen, vielen Dank für eure Antworten bisher.

Mir sind noch 4 Zeilen in diesem E-Mail-Text aufgefallen, schaut doch bitte mal da: http://mf-89.com/upload/attack2.txt

Kann es sein, dass diese zeilen bedeuten, dass jemand einen Eintrag in meinem Gästebuch vornehmen wollte, bei dem ein Script ausgeführt werden sollte, was von meinem CMS geblockt wurde und worüber ich diese Mail als Info erhalten habe?

 

[Web_spider]

Ja, das ist sogar wahrscheinlich, aber ich kann dir halt nichts versprechen.

MfG

Web_spider

 

[Maxi]

Ja, es liegt am Gästebuch, ich habe es gerade zwei mal getestet, folgendes:

1. Test:
Alle Pflichtfelder und auch den Sicherheitscode richtig eingegeben, den Text auf der oben genannten Datei genomman.
Ergebnis: Eintrag wurde ganz normal ausgeführt, das Script aber nicht, da aus allen < automatisch ein &lt; und aus allen > ein &gt; gemacht wurde.
Ich hab nur ne normale Mail bekommen, dass es einen neuen Gästebucheintrag gibt.

2. Test:
Wieder gleicher Code, nur einen Namen eingetragen und die restlichen Pflichtfelder leer gelassen, auch den Sicherheitscode.
Ergebnis: kein Eintrag, aber 4 neue E-Mails mit dem betreff XSS-Attack, die sehen genauso aus wie die am Anfang des Themas, als Name wird darin mein Testname genannt un der Tetsinhalt.

Danke euch für eure Hilfe, nun ist das Problem geklärt.

Und ich weiß jetzt, dass mein Gästebuch sicher ist, und dass solche Scripte darin nicht ausgeführt, sondern "entschärft" werden. Bei der Mail handelt es sich also nur um einen Hinweis, dass versucht wurde, einen solchen Eintrag vorzunehmen.

Mann bin ich froh 8)

 

[m0sT]

Benutzt du vielleicht ein CMS?
Eventuell schickt dieses CMS eine eMail an
den Admin, wenn eine XSS-Attacke festgestellt werden konnte?!

sach ich ja xD
ansonsten ist bei nem cms eben immer diese gefahr, da
es von vielen leuten benutzt und auch auf sicherheitslücken untersucht werden kann.

 

[FleyerShaver]

sach ich ja xD
ansonsten ist bei nem cms eben immer diese gefahr, da
es von vielen leuten benutzt und auch auf sicherheitslücken untersucht werden kann.

Wenn ich mir deiner log so ansehe würde ich folgendes vermuten. Ein Gast mit dem Namen "generic viagra" hat versucht auf deiner SEite folgenden Code ins GB zu schreiben:

 xaxh5yr-rjw1ieb-tw6q23e5-0 var r = document.referrer; document.write('')

ES handelt sich hierbei nur um einen Ausschnitt von dem POST. DAhinter kommen noch Links zu Viagra und Casinoseiten. Dieses wurde von deinem CMS erfolgreich erkannt und blockiert.

 

[Maxi]

Wenn ich mir deiner log so ansehe würde ich folgendes vermuten. Ein Gast mit dem Namen "generic viagra" hat versucht auf deiner SEite folgenden Code ins GB zu schreiben:

 xaxh5yr-rjw1ieb-tw6q23e5-0 var r = document.referrer; document.write('')

ES handelt sich hierbei nur um einen Ausschnitt von dem POST. DAhinter kommen noch Links zu Viagra und Casinoseiten. Dieses wurde von deinem CMS erfolgreich erkannt und blockiert.

Ganz genau so ist es, siehe mein vorheriger Post ein Stückchen weiter oben :mrgreen:

Habe diese bestätigung auch von einem Contrexx-Mitarbeiter nochmals erhalten.