Auf dieser Community-Seite stellen angehende Musiker und viele andere Menschen ihre Stimme für die ganze Welt hörbar online. Jeder Benutzer der die Seite besucht hört sofort eine Aufnahme eines zufällig ausgewählten Benutzers und kann diese ca. 30-60 Sekunden lange Aufnahme bewerten. Dabei wird überwiegend die Gesangsstimme bewertet, so dass der Sänger sich selbst besser einschätzen kann.

Heute im Laufe des Abends wurde die Webseite von der Gruppe “FuRty” gehackt. Beteiligte geben sich mit den Decknamen “RedGuard”, “Meher Assel” und  ”mah0ni” zu erkennen. Unseren Ermittlungen nach handelt es sich dabei wahrscheinlich um eine Hackergemeinschaft aus “Brasov” – einer Stadt in Rumänien. Aber auch türkische Hacker sind beteiligt und sind mit dieser Gruppe bereits auf “Tour” gewesen. Welche Sicherheitslücke die Einbrecher für diesen Anschlag verwendet haben ist bislang unklar. Sicher ist, dass die Besucher von www.stimmenplanet.de nun folgendes zu sehen bekommen:

Auf einer anderen Webseite im Netz listeten die Angreifer Ihre Tat in einer Tabelle der zuletzt gehackten Seiten auf und setzten somit ein Zeichen in der Szene. Es wirk fast wie ein Wettbewerb, welche Hackergruppe die meißten Erfolge erziehlt:

Die Hackergruppe “FuRty” scheint jedoch eine ernst zu nehmende Bedrohung zu sein, denn diese Hackte bereits ca. 4376 Webseiten, davon überwiegend wichtige Geschäftliche oder Community-Seiten, einige davon sind bis heute nicht wieder hergestellt. Wir haben eine Liste aller von der Hackergruppe betroffenen Seiten gefunden und möchten Ihnen diese nicht vorenthalten. Da wir nicht alle 4376 Webseiten auflisten können, erhalten Sie hier einen Auszug der zuletzt betroffenen Webseiten ab dem 25.08.2010:

Für nachfolgenden Link übernehmen wir keine Haftung! Wir können deren Inhalt weder überwachen, noch bestimmen oder kontrollieren.

Auf http://www.legend-h.org/hacker/?s=1&user=FuRty finden Sie eine Liste aller Hackangriffe und die entsprechenden Webseiten der “FuRty”-Gruppe.

Fehler in der neuesten Version!
Kurz nach dem letzten Server-Crash wurde schnell bemerkt, dass EasyMetin2 ohne dessen eigenen Server nicht mehr funktioniert. Es wird vermutet, dass der Server nur benötigt wird, weil EasyMetin2 in Zukunft kostenpflichtig werden soll. Bei der neuesten Version (0.1.7.1561) ist es jedoch weniger der Server, der Probleme macht. Vielmehr stimmt auf den ersten Blick etwas mit dem Sprachpaket nicht. Deutsche Sprache wird nur bruchstückhaft angezeigt, andere Stellen bleiben Englisch oder beinhalten gar noch die Variablen-Namen der Programmierer.

DIE LÖSUNG: Wir haben das Problem gesucht, gefunden und gepatcht. Hier könnt Ihr die neue und nun voll funkionsfähige Version herunterladen: EasyMetin2_de_0.1.7.1561_Patched Die offizielle Homepage findet Ihr unter: EasyMetin2.com

Was ist EasyMetin2 überhaupt?
EasyMetin2 ist ein Bot-Tool für das Online-Rollen-Spiel Metin2. Dabei übernimmt EasyMetin2 die komplette Kontrolle über die Spielfigur und führt alle gängigen Spielmöglichkeiten, wie etwa Monster töten, Items aufheben, Items verkaufen, Lebenstränke kaufen und sogar das trinken der Lebenstränke vollautomatisch aus. Somit kann der Spieler Nachts ins Bett gehen und wenn er am nächsten Morgen aufsteht ist seine Spielfigur stärker und vielleicht sogar ein oder mehrere Level gestiegen.

So könnte das Upload-Formular (HTML) aussehen:

<form name="foto" method="post" action="upload.php" enctype="multipart/form-data">
	<p>
		<b>Foto-Upload:</b><br />
		<input type="file" name="pict" />
		<input type="submit" name="button" value="Hochladen" />
	</p>
</form>

Und so sieht das einfache und eher funktioniell aufgebaute PHP-Script (upload.php) für den Foto-Upload aus:

	$user['id'] = 1;				// Die Id-Nummer des gerade eingeloggten Benutzers
	$uploaddir = "uploads/userpics/";	// Der Ordner in den die hochgeladenen Bilder gespeichert werden sollen

	// Prüfen ob Bild hochgeladen
	if (isset($_FILES['pict']['tmp_name'])) {
		// Prüfen ob es sich um ein Bild handelt
		if ($size=getimagesize($_FILES['pict']['tmp_name'])) {
			$fileends = explode(".",$_FILES['pict']['name']);
			$fileend = $fileends[count($fileends) - 1];
			$filepath = $uploaddir.$user['id']."_".time().".".$fileend;
			if(!move_uploaded_file($_FILES['pict']['tmp_name'],$filepath)){
				die ("Die hochgeladene Datei konnte nicht in den Upload-Order verschoben werden!");
			} else {
				// Altes Foto löschen
				if (isset($user['foto']) AND $user['foto'] != "" AND file_exists($user['foto'])) {
					unlink ($user['foto']);
				}
				// Datenbank aktualisieren
				mysql_query("UPDATE users SET foto = '".$filepath."' WHERE id = '".$user['id']."';");
				$user['foto'] = $filepath;
			}
		} else {
			die ("Bei der hochgeladenen Datei handelt es sich nicht um eine Bild-Datei");
		}
	} else {
		die ("Es wurde keine Datei zum Upload ausgewählt, oder der Upload ist gescheitert!");
	}

	echo "Das ausgewählte Foto wurde erfolgreich hochgeladen und gespeichert.";

Zu Beachten: Bei diesem Script wird die Benutzer-Datenbank aktualisiert.
Die dazu nötige Datenbank-Tabelle hat den Namen “users” mit mindestens den Feldern “id” und “foto”.

	 		function alter($d_or_timestamp="", $m="", $y=""){
	 			if ($d_or_timestamp > 31) {
	 				$d = date("d", $d_or_timestamp);
	 				$m = date("m", $d_or_timestamp);
	 				$y = date("Y", $d_or_timestamp);
	 			} else { $d = $d_or_timestamp; }
	 			if ($d == "" OR $d == 0) { $d = date("d", time()); }
	 			if ($m == "" OR $m == 0) { $m = date("m", time()); }
	 			if ($y == "") { $y = 0; }
	 			$jahre = date("Y", time()) - $y;
	 			if ($m > date("m", time())) { $jahre--; }
	 			elseif ($m == date("m", time()) AND $d > date("d", time())) { $jahre--; }
	 			return $jahre;
	 		}

Mit dieser Funktion kann die Anzahl Jahre zwischen zwei Datumsangaben berechnet werden:

	 		function jahre($d1_or_timestamp1, $m1_or_timestamp2="", $y1="", $d2="", $m2="", $y2=""){
	 			if ($m1_or_timestamp2 == "") { $m1_or_timestamp2 = time(); }
				if ($d1_or_timestamp1 > 31) {
	 				$d1 = date("d", $d1_or_timestamp1);
	 				$m1 = date("m", $d1_or_timestamp1);
	 				$y1 = date("Y", $d1_or_timestamp1);
	 			} else {
	 				$d1 = $d1_or_timestamp1;
	 				$m1 = $m1_or_timestamp2;
	 			}
	 			if ($m1_or_timestamp2 > 12) {
	 				$d2 = date("d", $m1_or_timestamp2);
	 				$m2 = date("m", $m1_or_timestamp2);
	 				$y2 = date("Y", $m1_or_timestamp2);
	 			}
	 			if ($d1 == "" OR $d1 == 0) { $d1 = 1; }
	 			if ($m1 == "" OR $m1 == 0) { $m1 = 1; }
	 			if ($y1 == "") { $y1 = 0; }
	 			if ($d2 == "" OR $d2 == 0) { $d2 = date("d", time()); }
	 			if ($m2 == "" OR $m2 == 0) { $m2 = date("m", time()); }
	 			if ($y2 == "" OR $y2 == 0) { $y2 = date("Y", time()); }
	 			$jahre = $y2 - $y1;
	 			if ($m1 > $m2) { $jahre--; }
	 			elseif ($m1 == $m2 AND $d1 > $d2) { $jahre--; }
	 			return $jahre;
	 		}

Wenn ein Benutzer auf einer Webseite einloggt, so werden seine Logindaten mit den in der Datenbank gespeicherten Daten abgeglichen. Sind die Daten stimmig, so wird dem Benutzer zum Beispiel seine Profilseite angezeigt. Doch wenn dieser nun einen Klick auf irgendeinen Link macht, wäre er wieder ausgeloggt. Das liegt daran, dass PHP eigentlich nicht weiß, dass der Nutzer sich zuvor eingeloggt hatte.

Natürlich könnte man während des Logins die aktuelle IP-Adresse des Nutzers in der Datenbank hinterlegen und bei jedem Seitenaufruf einfach prüfen, ob der Nutzer die gleiche IP-Adresse hat, aber in einem Internet-Kaffee wäre zum Beispiel jeder Sitzplatz plötzlich eingeloggt, da alle die selbe IP-Adresse verwenden.

Es ist also besser jedem Nutzer eine Sitzungs-ID zu verpassen, diese wird von seinem Browser automatisch mit an PHP übergeben und man kann somit auch mehrere verschiedene Nutzer unter ein und der selben IP-Adresse managen. Zudem haben Session’s den Vorteil, dass man zeitgleich Daten übergeben kann, etwa den Benutzernamen oder auch die Gültigkeitsdauer.

Wie erstellt man eine Sitzung?

Das erstellen einer Sitzung ist ganz einfach:

<?php
     session_start();
?>

Nun kann man auch Daten in die Sitzung hineinschreiben:

<?php
     session_start();
     $_SESSION['benutzername'] = "Max Mustermann";
?>

Nach einem klick des Benutzers auf irgendeinen internen Link auf der Webseite, können die Daten wieder gelesen werden:

<?php
     session_start();
     echo $_SESSION['benutzername'];
?>

Um den Wert wieder aus der Session zu entfernen:

<?php
     session_start();
     unset($_SESSION['benutzername']);
?>

Man kann allerdings auch (bei Logout zum Beispiel) die ganze Session (Sitzung) zerstören:

<?php
     session_destroy();
?>

Tipp: Wenn man die Session-ID abfragen möchte, also um sie etwa in die Datenbank zu speichern, so geht das mit:

<?php
     session_start();
     $sid = session_id(); // Die Session-ID wird nun in die Variable $sid geschrieben..
?>

Weitere Informationen zu Cookies, Sessions, ID’s oder zu Login-Scripten findet ihr Links in der Kategorie “PHP”.