Bloggtopppen.se och SQL injection - Fin fil med alla users

tartareandesire · 2011-10-26, 09:15

Citat:

Ursprungligen postat av FredrikMH

Ingreppet har varit genom MySQL injections va? Kör inte bloggtoppen på ett färdigt system vid namn evoTopsites? Det är bara ett svagt minne jag har och jag hittar inte deras officiella hemsida längre.

Han sa i en intervju att det var köpt men vilket system det handlar om vet jag inte. Kan ju dock vara bra att veta för de som kör på samma.

Hoppas verkligen han kör vidare trots detta. Inte så kul att gå igenom kod man inte skrivit själv dock om han inte vet ungefär var hålet finns (kan ju vara ett eller tio dessutom).

Lumax · 2011-10-26, 09:58

Citat:

Ursprungligen postat av DistansData

bloggplatsen.se verkar ha tagit listan från bloggtoppen som spreds där även mailadresserna finns och sen spammat.

Jag har ingen blogg på bloggplatsen.se men har fått spammail till maildresserna som finns i listan som spreds från bloggtoppen.

Hej! Jag kan säga direkt att vi gjorde en tabbe när vi snabbt skulle försöka vara kreativa och skicka ut ett mail till våra användare som är medlem på Bloggtoppen. Vi använde en felaktig JOIN i SQL-satsen, så alla bloggar hos oss som saknar angiven e-postadress matchades felaktigt som användare på Bloggtoppen. Detta märkte vi först nu på morgonen när folk hörde av sig, och det handlar om några tusen adresser.

Viktor · 2011-10-26, 10:03

Citat:

Ursprungligen postat av Lumax

Hej! Jag kan säga direkt att vi gjorde en tabbe när vi snabbt skulle försöka vara kreativa och skicka ut ett mail till våra användare som är medlem på Bloggtoppen. Vi använde en felaktig JOIN i SQL-satsen, så alla bloggar hos oss som saknar angiven e-postadress matchades felaktigt som användare på Bloggtoppen. Detta märkte vi först nu på morgonen när folk hörde av sig, och det handlar om några tusen adresser.

Yeah right

Timofey · 2011-10-26, 10:06

Citat:

Ursprungligen postat av Lumax

Hej! Jag kan säga direkt att vi gjorde en tabbe när vi snabbt skulle försöka vara kreativa och skicka ut ett mail till våra användare som är medlem på Bloggtoppen. Vi använde en felaktig JOIN i SQL-satsen, så alla bloggar hos oss som saknar angiven e-postadress matchades felaktigt som användare på Bloggtoppen. Detta märkte vi först nu på morgonen när folk hörde av sig, och det handlar om några tusen adresser.

Ni skulle ha skickat till alla era medlemmar istället för att joina på en (stulen) databas från en konkurrerande verksamhet.

Ni har skickat detta obeställda e-postmeddelande (spam) till mig i egenskap av enskild firma. Det är förbjudet att skicka obeställd e-postreklam till privatpersoner och enskilda firmor enligt http://www.konsumentverket.se/sv/int.../Anmala-spam1/
Jag betraktar ert utskick enbart som spam. Ni bryter alltså mot lagen.

Hur många är några tusen (som matchades felaktigt)? Tror det är många!

tartareandesire · 2011-10-26, 10:16

http://www.idg.se/2.1085/1.412410/180-000-konton-lackta

Jimmy är långt ifrån ensam. Åtminstone ett par av sajterna på listan sparar dessutom lösenorden i klartext. Någon som har tillgång till den första filen från augusti? Vill gärna se efter om jag finns med där...

Lumax · 2011-10-26, 10:18

Citat:

Ursprungligen postat av Timofey

Ni skulle ha skickat till alla era medlemmar istället för att joina på en (stulen) databas från en konkurrerande verksamhet.

Ni har skickat detta obeställda e-postmeddelande (spam) till mig i egenskap av enskild firma. Det är förbjudet att skicka obeställd e-postreklam till privatpersoner och enskilda firmor enligt http://www.konsumentverket.se/sv/int.../Anmala-spam1/
Jag betraktar ert utskick enbart som spam. Ni bryter alltså mot lagen.

Hur många är några tusen (som matchades felaktigt)? Tror det är många!

Ja, det är många 6-7000. Och givetvis är det att ses som spam i de fall dom inte skulle ha mailet. Vi är normalt väldigt restriktiv med e-postutskick till våra medlemmar och har inget stående nyhetsbrev eller annonsörer som gör utskick till medlemmarna eller liknande. Jag tror nog att alla vi som hängt på WN en längre tid har samma syn på spam.

BarateaU · 2011-10-26, 10:21

fin förklaring, satt och läste mailet imorse också.
De lär dimpa in en hel del mail framöver till adressen i filen.

Lumax · 2011-10-26, 10:32

Citat:

Ursprungligen postat av BarateaU

fin förklaring, satt och läste mailet imorse också.

Jag antar att du är en av dom som fått mailet utan att vara medlem på Bloggplatsen? Har du fått ett eller flera mail? Worst case är att samma adresser kan ha fått massvis med mail (som då var avsedd för olika bloggar).

Adestro · 2011-10-26, 11:14

http://www.lindqvist.com/bangerhead-...mmande-puckon/

Om Bloggplatsens utskick är av reklamkaraktär hoppas jag någon polisanmäler/KO-anmäler även dem.

jonny · 2011-10-26, 11:24

Den stora frågan är ju hur tusan ansvariga på våra största tidningar tillåter e-postlösenord på mindre än åtta tecken och helt utan kontroll. Att "tejp" och "boll" ens går att ange som lösenord...