Abo
  • IT-Karriere:

SQL-Dump aufgetaucht: Generalbundesanwalt.de gehackt

Einem Angreifer ist es gelungen, den Inhalt der Datenbank der Webseite des Generalbundesanwalts herunterzuladen. Der Angriff dürfte eine Reaktion auf die Ermittlungen gegen Netzpolitik.org darstellen.

Artikel veröffentlicht am ,
Screenshot mit einem Teil der Tabellennamen
Screenshot mit einem Teil der Tabellennamen (Bild: Alexander Merz/Golem.de)

Mit Hilfe eines automatisierten Penetrationswerkzeuges für SQL-Injections wurde die Webseite des Generalbundesanwalts angegriffen. Damit gelang es dem Angreifer, den Inhalt der Datenbank auszulesen, mit der die Webseite betrieben wird. Der Inhalt wurde in Form eines SQL-Dumps veröffentlicht.

Stellenmarkt
  1. DATAGROUP Köln GmbH, Frankfurt
  2. Karlsruher Institut für Technologie (KIT) Campus Nord, Eggenstein-Leopoldshafen

Der Großteil des 9,5 MByte großen Dumps besteht aus den öffentlich einsehbaren Texten der Webseite. Allerdings zeigt der Dump ebenfalls, dass auf der Webseite der PHPFileNavigator installiert ist oder war. Mit diesem Werkzeug können Dateien und Verzeichnisse auf einem Webserver über ein Webinterface verwaltet werden. Im Dump enthalten sind die Benutzernamen und gehashten Passwörter für den Zugriff auf den PHPFileNavigator sowie die realen Namen von PHP-Skripten und Verzeichnisstrukturen. Ein Angreifer könnte damit Einblick in die Skripte nehmen und auch selbst Skripte hochladen. Dadurch sind potenziell weitere Angriffe möglich beziehungsweise kann ein Angreifer darüber Zugriff auf Dokumente erhalten, die nicht direkt über die Webseite selbst zugänglich sind.

  • Am Wochenende, nach dem der SQL-Dump publiziert wurde, wurde die Datenbank vom Betreiber deaktiviert. (Screenshot: Alexander Merz/Golem.de)
Am Wochenende, nach dem der SQL-Dump publiziert wurde, wurde die Datenbank vom Betreiber deaktiviert. (Screenshot: Alexander Merz/Golem.de)

Die Programmierer der Webseite machten es den Angreifern anscheinend recht einfach. Sie verzichteten auf die Prüfung und Filterung von Parametern in der URL oder implementierten sie fehlerhaft. Dadurch war es möglich, die SQL-Datenbank-Anweisung in den PHP-Skripten um eigene Anweisungen und Parameter zu ergänzen. Über derart manipulierte SQL-Anweisungen ist es möglich, mehr Inhalte aus der Datenbank auszulesen als vom Programmierer vorgesehen oder gar Inhalte zu manipulieren.

Der Angriff auf die Webseite dürfte eine Reaktion auf die Ermittlung des Generalbundesanwalts gegen die Betreiber des Blogs Netzpolitik.org wegen Landesverrats sein. Das Blog veröffentlichte im Frühjahr 2015 Etat- und Planungsdokumente des Verfassungsschutzes.

Nachtrag vom 3. August 2015, 10:36 Uhr

Mittlerweile kann auf die Datenbank nicht mehr zugegriffen werden. Die Webseite liefert auf einigen Seiten entsprechende Fehlerhinweise. Laut der Pressestelle des Generalbundesanwalts wurde die Datenbank in der Nacht vom Sonntag zum Montag von den Betreibern vom Netz genommen, um weitere potenzielle Angriffe zu unterbinden.

Nachtrag vom 3. August 2015, 15:38 Uhr

Am Montagnachmittag, dem 3. August 2015, wurde die Datenbank wieder aktiviert, die Webseite läuft nun ohne weitere Fehlermeldungen.



Anzeige
Top-Angebote
  1. (u. a. For Honor für 11,50€, Anno 1404 Königsedition für 3,74€, Anno 2070 Königsedition...
  2. (u. a. Total war - Three Kingdoms für 35,99€, Command & Conquer - The Ultimate Collection für 4...

nglsr 04. Aug 2015

Einfach mal den Mauszeiger auf dem Bild ruhen lassen. Und herzlich willkommen auf xkcd.

Xiut 04. Aug 2015

Das habe ich genau wo geschrieben?! Ich habe geschrieben, dass man sich ein wichtiges...

schily 03. Aug 2015

Sind solche Durchsuchungen nicht normal, wenn gegen Verfassungsfeinde ermittelt wird? ;-)

gbpa005 03. Aug 2015

Es liefert nur einen Rechtfertigungsgrund für ein hartes Durchgreifen von Behörden. Man...

TheBigLou13 02. Aug 2015

Chapeau! Habe herzlich grinsen müssen.


Folgen Sie uns
       


Asus Prime Utopia angesehen

Asus zeigt auf der Computex 2019 eine Ideenstudie für ein neues High-End-Mainboard.

Asus Prime Utopia angesehen Video aufrufen
Radeon RX 5700 (XT) im Test: AMDs günstige Navi-Karten sind auch super
Radeon RX 5700 (XT) im Test
AMDs günstige Navi-Karten sind auch super

Die Radeon RX 5700 (XT) liefern nach einer Preissenkung vor dem Launch eine gute Leistung ab: Wer auf Hardware-Raytracing verzichten kann, erhält zwei empfehlenswerte Navi-Grafikkarten. Bei der Energie-Effizienz hapert es aber trotz moderner 7-nm-Technik immer noch etwas.
Ein Test von Marc Sauter

  1. Navi 14 Radeon RX 5600 (XT) könnte 1.536 Shader haben
  2. Radeon RX 5700 (XT) AMD senkt Navi-Preise noch vor Launch
  3. AMD Freier Navi-Treiber in Mesa eingepflegt

Dr. Mario World im Test: Spielspaß für Privatpatienten
Dr. Mario World im Test
Spielspaß für Privatpatienten

Schlimm süchtig machendes Gameplay, zuckersüße Grafik im typischen Nintendo-Stil und wunderbare Dudelmusik: Der Kampf von Dr. Mario World gegen böse Viren ist ein Mobile Game vom Feinsten - allerdings nur für Spieler mit gesunden Nerven oder tiefen Taschen.
Von Peter Steinlechner

  1. Mobile-Games-Auslese Ein Wunderjunge und dreimal kostenloser Mobilspaß
  2. Mobile-Games-Auslese Magischer Dieb trifft mogelnden Doktor
  3. Hyper Casual Games 30 Sekunden spielen, 30 Sekunden Werbung

Google Maps in Berlin: Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird
Google Maps in Berlin
Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird

Kartendienste sind für Touristen wie auch Ortskundige längst eine willkommene Hilfe. Doch manchmal gibt es größere Fehler. In Berlin werden beispielsweise einige Kleinprofil-Linien falsch gerendert. Dabei werden betriebliche Besonderheiten dargestellt.
Von Andreas Sebayang

  1. Kartendienst Qwant startet Tracking-freie Alternative zu Google Maps
  2. Nahverkehr Google verbessert Öffi-Navigation in Maps
  3. Google Maps-Nutzer können öffentliche Veranstaltungen erstellen

    •  /