Wahl der Top 10 Web Hacks

Die Idee

Auf der GPN6 wollen wir die "Top 10 Web Hacks" küren. Dabei sollen die 10 technisch interessantesten, lustigsten oder elegantesten Defacements, Einbrüche auf Webservern gefunden werden. Zuerst einmal sammeln wir Vorfälle und werden vor der Veranstaltung die wirklich für die Wahl in Frage kommenden vorsortieren. Bitte die Liste erweitern!

Übersicht von in Frage kommenden Hacks (sortiert nach Zeit)

1996

• Ein schwedischer Hacker bricht in die CIA-Webseite ein und ändert den Namen in 'Central Stupidity Agency'.

1999

• Wohl eines der ersten XSS-Probleme bei eBay die ausgenutzt wurden, wobei der Begriff damals nicht existierte
• Der Russe "Maxim" bricht bei CDUniverse Web Store ein und kopiert 300.000 Kreditkartennummern

2000

• Durch einen Fehler in Katalog auf der IKEA-Webseite ermöglicht ein Link zur Datenbank, dass die Daten runter geladen werden können.
• Defacement von 325 verschiedenen Webseiten der amerikanischen Regierung.

2001

• Der Wurm "Code Red" nutzt einen Buffer Overflow im Indexing Service des IIS 4 und 5 aus.
• Gehackte japanische Webseite serviert Nutzern des IE 4/5 JavaScript-Schadcode, der die PC-Konfiguration ändert.
• Der Wurm "Nimda" ist in der Lage, Microsoft Client und Server neben anderen Wegen über HTTP zu infizieren.

2002

• Advogato XSS Virus

2003

• Diebstahl von 55.200 Sozialversicherungesnummern bei Einbruch in die UT Austin über eine txClass-Datenbank.
• Mann versucht von Best Buy 2,5 Million US$ zu erpressen, damit er die Firmenwebseite nicht angreift.
• Die Bestellungen bei Victorias Secret können per Enumeration ausgelesen werden.

2004

• Gateway lässt Zugriff auf Kundendaten nur über ID zu.
• Auf der MyChannel von Peter Huth ist ein Dump mit Kundendaten öffentlich einsehbar.
• Bei dem Provisionierungssystem OBSOC der Telekom werden schwere Mängel entdeckt, die noch weitgehenden Zugriff auf weite Teile der Kunden-Konfigurationen zulässt.
• Hack von CardSystems, bei dem 263.000 Kreditkartennummern kopiert werden und ein Schaden von 40 Millionen US$ durch Ausnutzung dieser Karten verursacht wird. CardSystems wird daraufhin liquidiert.
• Spanische Hacker entwenden durch einen Twiki-Exploit auf einem CCC-Server die Anmeldedaten inklusive Kreditkartennummern des Camps 2003.
• SCO Webste teilweise defaced. Auf der Seite ist ein Banner mit dem Spruch 'SCO - We own all your code' zu bewundern.
• SunTrust-Seite wird durch XSS-Problem für Phishing missbraucht.
• "Santy"-Wurm benutzt Google um verwundbare Systeme zu finden.
• Während des jährlichen Kongresses des Chaos Computer Club werden 18.000 Webseiten defaced.
• Asgardversand gehackt.

2005

• Accounts bei T-Mobile in den USA durch Fehler in BEA Weblogic gehackt.
• XSS Wurm "Samy" verbreitet sich auf MySpace und repliziert sich ca. 1 Millionen mal. MySpace muss für mehrere Stunden abgeschaltet werden.
• MSN in Südkorea gehackt und mit Code versehen, der Passwörter mitloggt
• Microsoft UK-Seite wegen Administrationsfehler gehackt
• "Spread Firefox"-Seite gehackt
• Ein subtiler Bug in alter blogger.com-Routine ermöglicht Defacement des "Blogger Developers Network"-Blogs
• Stanford Webseite defaced durch XMLRPC-Bug
• 12jähriger hackt Online-Game und stielt Game Items durch raten von Credentials
• Teenager hackt verschiedene Seiten von Telefon Service Providern.
• Defacement von mehreren Novell-Webseiten.
• Firefox Promotionseite über ein ungepatchtes Twiki gehackt.
• Durch einen Administrationsfehler wird Xoops gehackt.
• 3.000 Kreditkartennummern beim Einbruch von Guidance Software kopiert durch SQL Injection. Die Firma verkauft Software für forensische Untersuchungen nach Einbrüchen.
• Seite des Heimatschutznetzwerk Sachsen gehackt. Daten eines internen Forums sorgen für Medienwirbel.

2006

• Russische Hacker brechen in die Seite von Rhode Island Gemeindeverwaltung ein und stehlen nach eigenen Angaben 53.000 Kreditkartennummern.
• Management Interface eines Hosters wird durch Brute Force Attacke geknackt und verschiedene Seiten von Gemeinden werden defaced.
• Massendefacement bei phillipinischem Hoster durch SQL Injection
• AstraTels LiveBilling-System leakt private Daten von Kunden (IP Log, getätigte Anrufe usw.)
• Iskorpitx defaced auf einen Schlag insgesamt etwa 38.000 Websites, die bei Secure Hosting gehostet werden.
• Ebay XSS. Script Tags in der Auktionsbeschreibung erlaubt.
• XSS in der Suchfunktion des Forums von Sourceforge.net
• Yahoo Mail XSS innerhalb des CSS
• Seite der Slowakischen National Secret Agency gehackt.
• XSS bei PayPal. PayPal hat 2 Jahre lang nicht auf Mitteilungen reagiert.
• MySpace XSS Exploit. Die dabei gestohlenen Logindaten wurden veröffentlicht und einer weitgehenden Analyse unterzogen.
• MySpace XSS Wurm mit embeddetem Flash-Film. Der Exploit wurde politische Statements genutzt.
• Hacks über Bande: Durch einen Hotmail XSS Bug konnten nach und nach verschiedene Seite kompromitiert werden (u.a. zone-h.org). Betroffen waren wahrscheinlich 71.000 User.
• Über 800.000 Namen, Sozialversicherungsnummern, Geburtstage, Adressen und Kontaktinformationen sind bei einem Hack der UCLA in Los Angeles geleakt.
• TJX wurde vermutlich über 4 Jahre Opfer einer permanenten Abschöpfung von Kreditkarten-, Führerschein- und Sozialversicherungsnummern. Wie das genau ging ist immer noch unklar, vermutlich 8 Mio. US$ Schaden

2007

• StudiVZ Weblog durch WordPress Encoding-Exploit übernommen
• Super Bowl Webseite gehackt und mit Trojaner und Keylogger versehen
• StudiVZ vermutlich durch SQL-Injection gehackt und Klartext-Passwörter gestohlen
• WordPress Backdoor
• Defacement von John McCain's MySpace Seite

Wahlverfahren auf der GPN6

Noch unklar. Hannes hat ein paar Vorschläge :)