Vor 10 Jahren war es soweit: Die shredzone.de ging online! Heute bin ich stolz darauf, dass ich es rechtzeitig zum Jubiläum geschafft habe, mein neues Blog online zu stellen.
Die Blog-Software nennt sich Cilla und ist eine Eigenentwicklung, in die jetzt schon einige lange Abende an Arbeit geflossen sind. Einige Dinge, die ich geplant habe, habe ich nicht mehr rechtzeitig fertig bekommen. Deshalb trägt die Shredzone momentan das (mittlerweile für’s Web 2.0 schon fast obligatorische) Beta-Batch. 😉 Den Quelltext von Cilla werde ich auf meiner Entwicklungs-Site freigegeben, sobald ich nicht mehr allzu viel darin umstelle.
Der Inhalt meiner alten Homepage - insbesondere die Fotogalerie - wird nach und nach auf meinen neuen Auftritt umziehen.
Viel Spaß auf der neuen Shredzone!
PS: Bis das Captcha-System fertiggestellt ist, werde ich alle neuen Kommentare erst einmal moderieren. Bitte habt ein wenig Geduld, bis euer Kommentar freigegeben wird.
Gestern hat ein netter Zeitgenosse offenbar versucht, meine Websites zu hacken. Er klapperte auf gut Glück eine Liste von über 700 URLs ab, die alle versuchen, die URL http://glendalehills.am/photo.gif? einzubinden. Hierbei handelt es sich nicht um ein Bild, sondern um ein simples PHP-Script:
<?php
echo ("EviLuTz hacked you");
?>
Der Sinn hinter dieser Aktion wird sein, die angegriffenen Server auf ein bei Hackern sehr beliebtes PHP-“Feature” abzuklopfen. PHP erlaubt es beim include()-Kommando, URLs anzugeben, die PHP dann artig vom externen Server nachlädt und einfach mal ausführt. Idiotischerweise ist diese Funktionalität per Default erlaubt, und kann auch erst seit PHP 5.2.0 gezielt abgeschaltet werden. Wenn man nun einen Parameter ungeprüft übernimmt und in das include() füttert, um normalerweise eine lokale PHP-Datei einzubinden, ist die Sicherheitslücke auch schon da. Leider tappen viele PHP-Entwickler in diese Falle. Vermutlich auch, weil dieses Feature erst irgendwann nachträglich dazukam. Andererseits dürfen Parameter, die vom Besucher der Site kommen, sowieso niemals ungeprüft verwendet werden.
Aber zurück zum Thema: Wenn der Angreifer nach dem Aufruf eine Seite zurückbekommt, in der der Text “EviLuTz hacked you” enthalten ist, weiß er, dass die Site angreifbar ist. Ob er dann sofort ein Hack-Script nachschiebt oder erst mal nur die Server sondiert, kann ich nicht sagen.
Der Angriff ging gegen mehrere Domains, aber immer von der IP 91.121.31.184 aus. Sie gehört offenbar einem dedizierten Server eines französischen ISPs. Auffällig ist auch der User-Agent, der mit der Anfrage mitgeschickt wird: “Toata dragostea mea pentru diavola” (laut Google-Übersetzer ist das Rumänisch für “Alle meine Liebe für den Teufel”).
Die Domain glendalehills.am gehört laut Whois seit 2005 der Firma “Glandale Hills” (sic!) in Armenien.
Als schnelle Gegenmaßnahme empfiehlt sich, die IP und/oder den User-Agent zu sperren. Auf jeden Fall sollte bei PHP außerdem allow_url_include abgeschaltet werden, um sich generell gegen diese Angriffe zu wehren. (Leider erfordert manche PHP-Software dieses Feature, zum Beispiel um externe Plugins nachzuladen.) Und der übliche Rat: Wikis, Foren, CMSe und weitere Software, die auf PHP aufsetzt, sollten immer auf einem möglichst aktuellen Stand gehalten werden.
PS: allow_url_include = Off stoppt nur die schlimmste Möglichkeit, nämlich dass fremde PHP-Scripte auf dem eigenen Server ausgeführt werden. Wenn die verwendete PHP-Software aber grundsätzlich anfällig ist (also HTTP-Parameter ungeprüft included), ist weiterhin eine gefährliche Sicherheitslücke offen, da darüber auch lokale Dateien gelesen oder zum Beispiel Administrations-Skripte aufgerufen werden können.
Was macht man mit selbstgebrannten CDs, wenn man sie nicht mehr braucht? Zum Wegwerfen sind sie an sich viel zu schade. Der Trägerkunststoff ist hochwertig und kann gut recycelt werden. Eine CD gehört deshalb nicht in den Restmüll. Und in den Gelben Sack schon gar nicht! Mittlerweile nehmen viele kommunale Müllsammelstellen CDs an und führen sie dem Recycling zu.
Bleibt nur ein zweites Problem: Wie bekommt man die Daten von der CD wieder herunter? Wenn es sensible personenbezogene Daten sind, hilft eigentlich nur eines: Die CDs müssen dann mit einem Spezialschredder in kleine Partikel zerschnippselt werden.
Eine Methode, die im Internet kursiert, ist die Bestrahlung der CD in einer Mikrowelle für wenige Sekunden. Allerdings werden dabei giftige Gase freigesetzt, außerdem kann ein Feuer entstehen oder die Mikrowelle dabei zerstört werden. Die Methode Mikrowelle kommt also keinesfalls in Frage.
Ich habe eben zufällig eine Methode gefunden, die sauber ist und zumindest den einfachen Datenvoyeur von nicht ganz so sensiblen Daten fernhalten kann. Man braucht dazu nur ein Cuttermesser und ein Gerät, das man in jedem Haushalt finden sollte: einen Staubsauger.
Hier sieht man das Ausgangsprodukt: Eine handelsübliche CD-ROM. Die Daten auf dieser CD sollen weitestgehend vernichtet werden.
Zuerst ritze ich mit dem Cuttermesser die Lackschicht an.
Die Lackflocken, die dabei entstehen, fliegen gerne überall herum und sind schwer wieder aus Teppich und Klamotten zu entfernen. Also Vorsicht. Vielleicht ist es auch eine gute Idee, bei der Aktion Einweghandschuhe und eine Feinstaubmaske zu tragen.
Jetzt kommt der eigentliche Schritt. Ich verwende den Staubsauger ohne Rohr und Düse, also nur das Handstück. Von den eingeritzten Stellen aus sauge ich damit in kreisenden Bewegungen den Lack von der CD herunter. Das geht bei fast allen CD-ROMs, die ich getestet hatte, spielend einfach. Hier ein Foto, nachdem ich bereits ein wenig Lack abgesaugt hatte:
Man braucht dabei nicht zimperlich sein, sondern kann den Kunststoffträger ruhig etwas roher mit der Staubsaugerdüse bearbeiten. Nach wenigen Sekunden mit dieser Behandlung ist der Lack dann schon ab, und die darunter liegende Farbstoffschicht erheblich verkratzt.
Der Vorteil der Methode: Es fliegen keinerlei Lacksplitter herum, sondern alles landet im Staubsaugerbeutel. Die CD ist danach fast wieder durchsichtig und wird von normalen CD-Laufwerken nicht mehr erkannt. Und die Beschriftung, die noch einen Hinweis auf den Inhalt der CD hätte geben könnte, liegt zerbröselt im Staubsaugerbeutel.
Allerdings klappt diese Methode nicht mit allen CDs. Fertige CDs interessiert diese Behandlung wenig. Auch DVDs haben eine wesentlich dickere Lackschicht auf der Oberseite und lassen sich durch den Staubsauger nicht beeindrucken. Selbst bei manchen CD-ROMs, insbesondere von dem Hersteller mit einem “Verb” am Anfang, war die Lackschicht auf der Oberseite so stabil, dass ich keine Chance hatte.
Die Methode trägt auch nur die oberste Lackschicht herunter. Die Datenschicht mit dem Farbstoff bleibt auf der CD zurück und wird allenfalls beschädigt. Für den einfachen Voyeur ist die CD damit trotzdem unlesbar, aber ein Datenrettungsunternehmen könnte die Daten vielleicht doch wiederherstellen. Für sensible Daten, die eine Vernichtung nach BSI-Standard erfordern, ist dieses Verfahren also völlig ungeeignet!
So, ich bin aus Rhodos zurück. Es wird noch etwas brauchen, bis ich die Fotos sortiert und nachbearbeitet habe. Diesmal ist auch mindestens ein Panorama- und ein HDR-Tonemap-Bild dabei.
Vorab schon mal eine kleine Kostprobe… 😀
