meine Passwortverschlüsselungsidee

[Alexander (HH)]

Moin Moin!

Außerdem denke ich kommt man nicht sooo leicht an Quellcode ran. An Datenbankeinträge schon eher.

Wie viel Cent möchtest Du darauf wetten?

gzip_cnc hatte mal einen wunderschönen Bug, der sämtliche Sicherungsmaßnahmen des Webservers umging und jede beliebige, für den Webserver-User lesbare Datei an jeden beliebigen Browser liefern konnte, inklusive gzip_cnc selbst, wenn auch GZIP-komprimiert. Daher der dekorative rote Balken am oberen Rand der Seite.

Übrigens können diverse Datenbanken auch Dateien aus dem lokalen Dateisystem einlesen und ihren Inhalt per SQL-Select abliefern. Eine SQL-Injektion-Lücke auf einem System, bei dem Webserver und Datenbank auf der selben (virtuellen oder realen) Maschine laufen, reicht dann unter Umständen aus, um alle Quelltexte *UND* die gesamte DB abzusammeln.

Ach ja, wenn ich mich recht erinnere, kann der MS SQL Server auch von sich aus Mails versenden, gesteuert komplett über SQL. Eine Lücke und Dein Server verschickt selbständig alle Quelltexte und Daten an eine Wegwerf-Mailadresse. Die Lücke muß also gar nicht so groß sein, dass die Daten in einem brauchbaren Format aus der Datenbank bis zum Browser weitergereicht werden, dank Mail-Funktionen geht's auch im Blindflug.

Und ich hab noch nicht einmal angefangen, über Sicherheitslücken im Betriebssystem, in Libraries, im Webserver und im Script-Interpreter nachzudenken.

Alexander