The Shinning

[Rebound]

Tracker: The Shinning
Source: veränderte NetVision-Source

Dieses Security-Review beschäftigt sich mit dem Tracker „The-Shinning“. Anders als der Name erahnen lässt, gibt es leider nicht viel "scheinendes" zu vermelden in diesem Review.

Serversicherheit

Bis vor Kurzem konnte man noch die PHP-Info öffentlich einsehbar finden. Scheinbar hat das Borgzelle Review etwas Staub aufgewirbelt und die Admins von The-Shinning haben reagiert und das gute Stück entfernt. Natürlich habe ich die Infos vorsorglich gesichert.

PHP-Version: PHP Version 5.3.3-7+squeeze26 (Aktuellste: 5.6.9)

Nicht die neuste Version, allerdings gibt es keine nennenswerten Sicherheitsprobleme mit der 5.3.3, daher kein Grund zur Sorge.

MySQL-Version: 5.1.73 (Aktuellste: 5.6.25)

Hier gilt das Gleiche wie bei PHP. Zwar nicht aktuell, aber unbedenklich. Trotzdem sollte man natürlich nicht ewig warten bis irgendwann mal eine Sicherheitslücke entdeckt wird und versuchen, PHP/MySQL up to date zu halten.
Die PHP-Info wurde wie bereits oben erwähnt entfernt. Sonst wäre dies ein Kritikpunkt gewesen.

Trackersicherheit

Der Tracker hat so viele Sicherheitslücken, dass man fast glauben muss, es steckt Absicht dahinter. Ich bin problemlos in die Datenbank gekommen und hätte sicherlich so einiges damit anstellen können.

vorhandene Datenbanken:

• information_schema
• mysql
• performance_schema
• shinning

Kleiner Auszug aus der Usertabelle:

id	class	email	username	passhash
1	13	the.shinning1@***.de	Jackpot	99caa7a920e53bf11f4648e6747a61e9
12	106	ctr2001@***.de	skydog	cac7b61043601ec458535a4974ddf765
52	5	Michael866@***.de	Michael866	9adac0a7cbdd7b8fadc86d882ff29de9
87	3	sk8ramp1@***.com	gtx	b8f28c6fad2236bc8a7499552e09732a
96	3	fielding71@***.de	Harry	e11ab0c65e543f4396c0a148159cd78a
127	6	stefanw4@***.com	cartman	8584b6c0b5e521850ec132b61157c17f
148	6	kai-s-frank@***.de	seimen	f4454e179aee0e446c6411683f2de9e0
157	3	funtasie@***.net	Funtasie	b4cad99138bc4683ed1d6a65723c1468
162	3	memphistennessee@***.de	Elvis	da47d660795899e54124d7e4ecca5090
175	6	bittor68@***.de	goose	791fc48db5e0f73f684777bd72edecf7

Passhashes sind zwecks Salt natürlich kaum zu knacken.

Fazit

Gäbe es ein Security-Review Ranking, wäre dieser Tracker bisher an letzter Stelle. Eklatante Sicherheitslücken innerhalb des Trackers gewähren Zugriff auf die komplette Datenbank und mit etwas Zeitaufwand kann man höchstwahrscheinlich den ganzen Tracker hacken und übernehmen. Auch The Shinning handelt grob fahrlässig und verlässt sich darauf, dass nur User ohne böse Absichten auf dem Tracker unterwegs sind. Wenn ich wollte, könnte ich einen kompletten Dump der Datenbank anfertigen und veröffentlichen.
Das abschließende Fazit fällt daher vernichtend schlecht aus. Von diesem Tracker bloß die Finger lassen!

[matrix2003]

WOW.. bekam heute diese eMail

Is ja mal KRASS.. zumal meine Daten dort gelöscht werden sollten! . Aber wie man sieht, hackt man mal eben die datenbank, und holt auch noch MEINE Sensiblen Daten da raus, und das wo sie hätten schon längst weg sein müssen!..

Dann sind meine Daten bestimmt auch nicht gelöscht worden....kann man nur den Kopf schütteln aber war mir so klar das da sich nichts geändert hat

[Flux]

Dann sind meine Daten bestimmt auch nicht gelöscht worden....kann man nur den Kopf schütteln aber war mir so klar das da sich nichts geändert hat

japp. mein reden immer und immer wieder bleibt fern von sowas ............ hat schon vorteile son review ....... wie viele redner shcon sagen löscht die daten der user und gut .......... traurig genug .... das ihr die user db an einem andern tracker gibt und dort ac´s erstellt ohne die alten user zu fragen

das ist schon setzen 6

[t0m]

Autsch, das ist hart. Bin einer der User dort die bisher von nichts wussten. Vielen Dank Rebound für den Hinweis, denke mit der eMail von gestern Abend werden noch einige weitere aufgeschreckt. Erschreckend ist nicht die Tatsache der Sicherheitslücken vor knapp 3 Jahren, sondern die Reaktion von Sky und das sich in der langen Zeit einfach nichts geändert hat

[Flux]

die Reaktion ist wohl das shining jetzt off ist vllt. bis vorhin waren sie noch da

[AnneDecke]

Danke für die Mail. Sehr unschön das Ganze. Hab meinen kaum genutzten Account dort am 05.03.18 löschen lassen. Aber toll wenn man dann trotzdem noch Daten von mir finden kann.

[Flux]

Danke für die Mail. Sehr unschön das Ganze. Hab meinen kaum genutzten Account dort am 05.03.18 löschen lassen. Aber toll wenn man dann trotzdem noch Daten von mir finden kann.

ja das sind dann so ober schlaue Coder (Staffler die teils selbst gar nicht wissen was Sache ist oder werden angelogen ) die der Meinung sind den Usern ein vom Himmel vor gaukeln , sie wären sicher .... daher finde ich echt einerseits Top das es User gibt wie Rebound & Co die das testen

[headshotde]

danke für die Mail gestern abend habe es aber nicht mehr geschafft einen Account zu löschen...
Die Seite ist Down ich hoffe auf der DB wurde ein ordentlicher Drop gemacht :)

[Ruroc]

Servus zusammen, da ja nun TheShinnig off gegangen ist , würde ich gerne wissen welche Seite ihr mir empfehlen könnt wo ich meine Filme beziehen kann ?

Lg

[xeplion]

puh, mich hat die mail auch kalt erwischt - und es bleibt die frage offen, wie es jetzt weiter geht, da ein rankommen an die guten/safen tracker entsprechend kaum noch möglich ist...

[DiePest]

Puh ich dachte bisher ich wäre bei denen Sicher...konnte meine Daten auch nimmer löschen weil die Seite off ist..

Trotzdem Danke für die Info. Gibt noch ein paar Seiten auf denen ich bin die ihr aber als unsicher einstuft...

[Ruroc]

@DiePest

Kannst du mir 1-2 Tracker nennen?

[Mallenia]

Bin echt geschockt über diese Aussage von Skydog!!! Danke für die E-Mail gestern , wollte meinen Account deaktivieren ,bekomme aber keine Verbindung mit diesem Tracker. War Gott sei dank nur selten da!!

---------- Post Merged at 19:42 ---------- Previous Post was at 19:40 ----------

Ich bin noch bei das Unerwartete gereggt , kannst ja da mal schauen.

/dasunerwartete.nl/login.php

[Ruroc]

Also jetzt mal im Ernst, ich bin seit heute hier Registriert ,auf Grund einer Plumpen E Mail von sb-Innovation mit dem Hinweis das der Admin skydog von TheShinning meine Daten raus gibt! Jetzt ist der Tracker offline (jetzt habt ihr das erreicht was ihr wolltet) und ich weiss nicht woher ich meine Files jetzt beziehen soll, hier bekomm ich ja auch nicht wirklich eine Antwort bzw. eine Ausweichmöglichkeit!!!
1. Eure Trackerliste ist veraltet , viele sind nicht mehr aktuell oder aktiv !
2.brauche ich für jede Registrierung bei einem Tracker der on ist eine Invite code um mich zu registrieren, nur von wenn bekomme ich die?
3.gibt es Tracker die komplett geschlossen sind
4.das aller wichtigste ist, wer oder was zur Hölle ist sb-Innovation ,was interessiert mich eure Problem mit skydog?seit Ihr eine selbst ernannte Trackerpolizei oder was? Klärt mich auf!

5 Jahre war ich bei Shinning User und nie hatte ich überhaupt Probleme, bis auf gestern und jetzt habt ihr dafür gesorgt das der Tracker off ist und ihr es nicht einmal Schafft mir eine Antwort auf meine Fragen zu geben!

Also ich bin ganz Ohr, lasst mal hören.......

[sebastian1]

2.brauche ich für jede Registrierung bei einem Tracker der on ist eine Invite code um mich zu registrieren, nur von wenn bekomme ich die?
..

Ist nicht böse gemeint, aber mal ein wenig eigen Initiative hilft wirklich weiter. Es stehen noch genügend Tracker vor allem in diesem Bereich wo man einfach nur mal auf die Tracker URL klicken muß, und dann. OHHHHHHHHHHH schaue mal.. da kann man sich BEWERBEN ...
Und wenn es dir egal ist, ob man einfach so deine Daten bekommt, dann kannst du auch gerne auf ÖFFENTLICHE Tracker gehen, denn da freuen sich ganz bestimmt sehr viele Abmahnanwälte über deine offene und Desinteressierte Art deine Daten frei zu geben! - Und das du nur auf diesem einem Tracker bist, ist auch ganz alleine dein Problem! Wer hatte dich die letzten 5 Jahre daran gehindert auch mal wo anders zu schauen?

[Ruroc]

Das ist auch nicht böse gemeint , aber könnt ihr euch vorstellen das es Leute gibt die einfach nur ihre Files beziehen wollen und keine Profis sind am Rechner? Es hat die ganze Zeit funktioniert jetzt da TsH offline ist suche ich etwas vergleichbares was eurer Meinung nach sicher ist , wo ich einfach auf die Hompage gehe mich einlogge und ich meine Files ziehen und anbieten kann, FERTIG!
Ich will natürlich auch nicht wie ein offenes Buch durchs Internet Latschen.
Es ist nur komisch, ich stelle seit heute früh eine Frage , bekomme ich nach Stunden eine halbe hilfreiche Antwort , aber kaum kommt Kritik, gibts direkt ne Antwort!