PHP-Schwachstellen: Auch Geräte daheim....Ben? kannst du bitte...

Hi MeinMaldweg,

um die grafische Oberfläche, die Gestaltung von Webseiten zu erstellen, gibt es seit jeher HTML und CSS. Du musst nicht wissen, was das ist, außer dass dies für dich vereinfacht nur für die Gestaltung notwendig ist, das Grundgerüst sozusagen.

Dann möchte man seiner Webseite Funktionen hinzufügen. Das kann ein Textfeld sein, in das man einen Text eingibt, der dann per E-Mail verschickt wird - z.B. an den Support der Webseite (sowas hat CsC auch).

Zum Beispiel CsC hat eine Oberfläche, die du siehst (HTML & CSS). Die Daten der Mitglieder sind "bei" der Geschäftsleitung irgendwo auf einem starken Computer gespeichert, auf einem Server. Jede Minute müssen manchmal Hunderte Nutzerprofile geladen werden. Es muss überprüft werden, ob du da das überhaupt darfst (kann ja sein, dass du blockiert bist). Auch werden pro Minute Hunderte Nachrichten hin und her verschickt. Auch wenn du hier ein Kommentar schreibst, kümmert sich der Server um die Verarbeitung, Speicherung, Anzeige usw... 

Also:
1) Alle Daten sind auf dem Server gespeichert
2) Alle Aktionen, die du hier tun kannst, geschehen ebenfalls auf dem Server.

Dir wird lediglich das Ergebnis angezeigt.

Die Programmiersprache, die dafür verwendet wird, um Aktionen auf dem Server zu steuern, nennt sich PHP. Wenn du einen Kommentar in ein Eingabefeld schreibst, geschieht dies zunächst auf deinem PC. Sobald du aber den blauen Button "Kommentar eintragen" anklickst, wird dein Text an den CsC-Server geschickt. Dieser Befehl lautet in etwa, "Nimm den Text aus diesem Textfeld. Dann öffne die Datenbank, rufe dieses Thema auf, und hänge diesen Kommentar an die Kommentarliste dran und speichere es ab.

Der Nächste, der dann dieses Thema aufruft, sieht dann deinen Kommentar.

Was du mit den Daten auf dem Server machen und was du sehen kannst, ist sehr stark restriktiert. Es ist klar, dass ein Admin sehr viel Funktionen zur Verfügung stehen als dir. Der kann auch alle Daten sehen, wie du wirklich heißt, wenn du ein Mann bist, wann du zum letzten Mal bezahlt hast usw. Also es gibt ein strenges Sicherheitsmanagement, dass nicht jeder auf alle Daten Zugriff hat und diese auch nicht nach belieben ändern kann.

Das Problem ist, die Programmiersprache PHP hat ein Sicherheitsproblem. Eine Art geheime Tür oder Hintertür (ein Programmierfehler, ein Konstruktionsfehler, etwas was übersehen wurde), durch die Angreifer (Verbrecher) sich durch die ganzen Sicherheitsschranken vorbeischleusen und dann im schlimmsten Fall Vollzugriff auf dem Server haben. Alle Datenbanken lesen, deine für die Öffentlichkeit versteckten Daten klauen können. Dazu gehören auch E-Mail-Adresse und Passwörter. Der wird nämlich mit PHP gesteuert. Und das, was diese Leute gefunden haben, ist eine Sicherheitslücke, eine geheime Tür in die Kommandozentrale.

Wenn ich nun Verbrecher wäre, würde ich schauen, wo du diese Login-Daten sonst noch so verwendest. Ich würde Facebook, Instagram, alle E-Mail-Anbieter usw. ausprobieren. So kriege ich dann mehr und mehr Zugriff auf dein Leben. Kann alles mitlesen, weiß, mit wem du schreibst. Besonders toll. Wenn ich mit deinen Zugangsdaten, die du hier benutzt, auch Zugriff auf eines deiner E-Mail-Konten habe, sehe ich recht schnell, wo du überall Mitglied bist. Denn Facebook, Instagram, weitere Partnerbörsen usw. schicken dir nämlich E-Mails an genau diese E-Mail-Adresse. Dort würde ich als erstes nachschauen, ob deine Zugangsdaten auch dort funktionieren. Und wenn nicht, kein Problem. Da ich Zugriff auf dein E-Mail-Konto habe, kann ich die Passwörter "überall" recht einfach ändern.

Verbrecher machen das inzwischen mit Bots vollautomatisch.

Das Problem, rund 70% aller Webseiten laufen auf die eine oder andere Weise mit PHP. Und nun wird systematisch probiert, mit Bots alle möglichen Webseiten abzuklappern, wo man überall reinkommen kann, um Daten zu klauen, verbotene Aktionen auszuführen usw. 

So ungefähr jedenfalls.

Aber:
Es gibt ein Update für PHP, und normale Nutzer müssen nichts tun.

Die Frage ist nur, wie schnell die jeweiligen Webseiten darauf reagieren. Wenn CsC gut ist, haben sie bereits drauf reagiert. Wenn nicht, kann das im schlimmsten Fall auch erst in paar Tagen oder Wochen passieren. Bis dahin könnte CsC auch für solche Angriffe ein Einfallstor sein.

Also im Grunde genommen: Überall, wo Daten von dir abgespeichert sind, wo du dich einloggen musst, diese Webseiten sind für dich relevant. Denn Angreifer können durch die Sicherheitslücke sich an den Sicherheitsschranken vorbeischleusen und Daten klauen und dann damit Schabernack machen.

Wir hatten das auf einer unserer Webseiten auch mal.

Da wurde dann - ohne dass wir es wussten - über unsere Firmenwebseite auf verstecken (uns unbekannten Seiten) Werbung für Kanabisprodukte gemacht. Das Profilbild eines Kollegen wurde benutzt, um Besucher auf eine Schwulenwebseite zu locken - und dass alles auf unserer Firmenwebseite. Wir haben das erst gemerkt, als google uns nicht mehr in den Suchergebnissen anzeigte, wegen illegaler Produkte auf unserer Webseite. Die Verbrecher haben dann einfach auf diese von ihnen erstellten Webseiten verlinkt und haben unseren guten Ruf für ihre kriminellen Zwecke missbraucht. Und wer durfte sich dann darum kümmern, den Mist, den ein anderer teuer bezahlt verzapft hat, aufräumen, weil der andere zwar das Geld genommen, sich dann aber für seinen Mist nicht zuständig gefühlt hat? Rate.. 🙄

PS: Achso: Geräte bei dir zu Hause sind nicht betroffen - normalerweise nicht.

Manche, die ein NAS haben (Netzwerk-Festplatten), eigene Server, zum Beispiel ein Raspberry Pi mit WordPress, Nextcloud oder ähnlichem, oder Programme wie XAMPP (was ich z.B. mal genutzt habe). Und manche Router und andere Geräte mit Weboberfläche können betroffen sein, weil manche Hersteller PHP darin nutzen (normalerweise aber nicht). Also Ottonormalverbraucher sind eigentlich nicht betroffen.

Ich würde mir eher Sorgen machen, dass alle Webseiten, wo ich Logindaten habe, dass die UMGEHEND reagieren oder am besten schon reagiert haben. Denn auch ich benutze manche Kennwörter an unterschiedlichen Stellen im Internet (reine Bequemlichkeit).

PS: Betroffen sind also Shops, Socialmedia-Portale, CsC, Nachrichtenportale... usw.

Das ist eine der größten Sicherheitsbedrohungen der letzten Jahre. Und das Krasse ist, die große Welle rollt jetzt erst an. Da wird eigentlich alles im Internet abgegrast, was sich Webseite nennt. Schade, dass sich viele erst um die Upates kümmern, wenn es zu spät ist. Ich denke, da werden wir in den Wochen, Monaten vielleicht noch das eine oder andere hören.

Wer wissen möchte, ob seine E-Mail-Adresse schon von einem früheren Angriff betroffen ist:

https://haveibeenpwned.com/

Hier kannst du es prüfen.

PS: Als kleines Beispiel. In der Coronazeit hatten "wir" (Firma, für die ich arbeite) ein zweites Unternehmen gegründet, über das wir Coronatests, Masken usw. vertrieben haben.

Schon damals verzeichneten wir über 700 (!) Angriffe pro Tag, wo irgendwelche Leute aus aller Welt geguckt haben, ob sie bei uns irgendwelche Sicherheitslücken finden und ausnutzen können.

Danke für die gute Erklärung! 🙂