Abend,

Vielleicht ist's euch schon aufgefallen, dass eurer Forum kurzzeitig offline war. Mir ist gestern Mittag eine kleine "Sicherheitslücke" aufgefallen, die es ohne spezielle Programme möglich macht, ein komplettes Forum lahmzulegen. Dies geschieht mit einem recht einfachem Prinzip, welches ich euch ncoh nicht offenenlegen möchte.

Auf jeden Fall ist fast jedes VB-Forum im Netz betroffen. Jedoch sind die Fehler verschieden.

1.) Es kommt nur der "Server überlastet" Fehler, nach kurzer Zeit geht's wieder
2.) Datenbankfehler: Hier dauert es in der Regel eine Weile, bis die Seite einsatzbereit ist.
3.) Oder die Seite ist eben ganz offline ("Kann nciht angezeigt werden")

Letzterer Fehler war dafür verantwortlich, dass ein recht großes Portal (40.000 User) für rund ne halbe Stunde offline war.

Neben vBulletin Foren ist auch Typo3 betroffen. Mit diesem Trick lässt sich die CPU-Auslastung innerhalb von Sekunden auf 100% katapultieren, an welchen die Systeme scheitern.

Ich möchte niemand schaden, aber ich wollte darauf hinweisen. Denn im Grunde gibt es wohl Tausende Foren´, die potentielle Angriffsfläche bieten.

Mich würde mal eure Meinung interessieren,
Gruß vbBug

Zitat von vbBug

2.) Datenbankfehler: Hier dauert es in der Regel eine Weile, bis die Seite einsatzbereit ist.

Das ist hier wohl eher auf nen Parkinson-Server zurückzuführen.

Was meinst du damit? Betroffen ist fast jedes VB-Board.

z.b. guck hier http://www.finepix.de/forum/forumdisplay.php?f=3

grad gemacht, als bespiel.

Zitat von vbBug

Was meinst du damit? Betroffen ist fast jedes VB-Board.

Ich sag mal, dass es wenn überhaupt die Administration interessieren wird. Solange keiner die Boardfarben in Blau-Weiss ändert kann ich damit leben.

Dann kann man damit Leben, dass ein User, ohne PC-Kenntnisse so eine VB-Seite theorethisch in jedem Internet-Cafe innerhalb von 10 Sekunden abschießen kann? Die Finepix-Seite hab' ich um 21.03 "bearbeitet". Ist das eurer Meinung so trivial, dass ein Board mal ne halbe Stunde offline ist?

Ich schließe mich Mighty an. Das sollten die Admins beantworten.

Oder poste doch hier -> vBulletin Germany Support Forum - Powered by vBulletin

Auf die Antworten wäre ich gespannt.

Gruß cad

Im Grunde gehts schon wie per PM vermutet durch "massige HTTP Anfragen". Ich hab's jetzt auf ne superprimitive Weise gemacht, die jeder nachmachen kann. Aber ich mein halt, wenn sowas groß rauskommt, wird doch kaum n Forum mehr laufen ... und um die Lösungen schehrt sich keiner. Man kann den Apache auch so einstellen, dass nach einer zu hohen Anzahl an Requests einfach ein 403er aufgegeben wird und die IP für einige Sekunden gesperrt wird. Aber dads scheint wohl kaum ein Forenbetreiber zu machen.

Und so lässt sich doch fast jede Seite recht schnell abschießen.

hi vBug,

so kann man jede seite killen. es gibt aber auch einen einfachen grund, warum das nicht an der tagesordnung ist: strafbarkeit.
das ist eine kleine Denial_of_Service - Attake. wenn dich jemand deswegen wegen schadensersatz in anspruch nimmt kann es schnell kostspielig werden...

.daguru

Im Endeffekt reicht es ja aus, 5 Sekunden lang schnell auf den selben Link zu klicken, um diesen Effekt zu erzielen. Wie soll man feststellen, ob jemand einfach nur "nervös" war oder dies bewusst getan hat?

kommt drauf an, ob er nur einmal oder mehrmals hintereinander nervös war...

.daguru