[AlCapone25]

Hallo ist es möglich von einem cookie das passwort auszulesen das soll keine hack anfrage sein .

[spartan-b292]

Das Passwort wird im Cookie als Hashwert z.B. MD5 gespeichert.
Da es sich bei MD5 um eine Einwegfunktion handelt kannst du den Klartext, wenn überhaupt, nur unter sehr großem Aufwand zurück berechnen.
Kommen noch weitere Algorithmen wie Salt dazu steigt die Komplexität nochmal erheblich.

[AlCapone25]

Sowas ähnliches habe ich mir schon gedacht, danke nochmal.

[slahn]

Zusätzlich kann es auch sein, dass das gesendete Cookie gar nichts mit dem PW zu tun hat und man einfach eine Random-Funktion verwendet hat. Wo das ganze vorhaben dann wirklich unmöglich wird (so lange man keinen statistischen Fehler im Algorithmus findet ...

Cookies sind ja nur Platzhalter für die jeweiligen Identitäten, den Wert des Cookies muss nur die Webseite selbst verstehen. Z.B. könnte der Programmierer einfach für jeden gesendeten Cookie einen Zähler hoch zählen und diesen Wert verwenden ... oder den Usernamen als Wert hernehmen ... oder die IP (<- das sind aber alles eher schlechte/unsichere Lösungen!) ... es ist alles möglich. Nur die Webseite muss wissen wie sie die Werte des Cookies interpretiert/zuordnet.

[AlCapone25]

Also diesen cookie den ich habe beinhaltet definitiv die login daten weil ich mich leider nur so einlogen kann daher die frage.

[Timmee1616]

ja dann schau mal ob das ein MD5 Hash oder so ist - das bruten ist dann nicht mehr so aufwendig!
Bei weiteren Fragen kannst dich gern an mich wenden...

[AlCapone25]

ja das ist nun die frage wie finde ich die verschlüsselung raus

[slahn]

Genau, bei MD5 sind es ja nur 340282366920938463463374607431768211456 mögliche Kombinationen (sollte ich mich nicht verrechnet haben) ... das ist natürlich überhaupt nicht aufwendig

Man sollte sich halt fragen warum mein sein eigenes Passwort nicht hat und warum die Anmeldung nur mit einem Cookie möglich sein sollte ...

[Prince]

Hmm, ich habe irgendwie auch den "Verdacht" dass es sich bei dem Cookie nicht um seinen eigenen handelt.

Vielleicht will er ja das Passwort seiner "Ex" steffi88 knacken.

[kkhamburg]

Zitat von Timmee1616

ja dann schau mal ob das ein MD5 Hash oder so ist - das bruten ist dann nicht mehr so aufwendig!

Ist klar, ist dann natürlich ne Kleinigkeit wenn es ein MD5 Hash ist.

Mir ist die Frage des TEs auch nicht so richtig klar.
Entweder du hast Zugangsdaten für die Webseite, dann brauchst du kein Cookie auslesen bzw, zu entschlüsseln ansonsten geht es wohl doch eher in die Richtung einen fremden Account zu kompromitieren.

[AlCapone25]

Es eine sehr peinliche situation ich habe letzten Donnerstag einen Mahnbrief von der PVZ (pressevertriebszntrale GMbH & Co. KG) bekommen wo ich angeblich die Motorsport Aktuell online bestellt haben soll. Selbstverständlich haben die auch schon versucht von meinem konto per Lastschrift die fällige Gebühr einzuziehen und ich weiss noch nicht mal woher sie meine Daten herhatten. Ich rief bei dennen an und die Frau sagte mir die seite wo ich es bestellt haben soll die mir aber völlig unbekannt ist . Daraufhin hatte ich die Seite besucht und da ich keine daten hatte konnte ich mich mit meinem PC erst nicht einlogen erst später als ich mit meinem download lapptop auf die seite ging war ich sofort eingeloggt Eek Da standen sogar meine ganzen Daten bis hin zur kontodaten. Bloss die kontakt Email Addresse war nicht meine und kannte ich auch nicht danach schaute ich in firefox bei den gespeicherten passwörtern dort war kein eintrag von dieser seite zu finden bloss ein cookie habe ich in firefox gespeichert.

Die Zeitung wurde zwischen zeitlich storniert und ich muss nichts bezahlen und den Support habe ich auch angeschrieben mit der bitte den Accout zulöschen wo noch keine antwort kam.
ich kann jetzt auch nicht sagen ob viren oder trojanner auf den laptop sind da kein antiviren programm drauf ist weil das ein stein altes ding ist (Dell latitude 500 mhz )und schon mit firefox + jdownloader zu kämpfen hat. Bloss mir bleiben nur zwei möglichkeiten entweder abwarten ob und wann was von Support kommt oder versuchen über den cockie die daten rauszufinden und wie ihr schon sagtet ist es quasi unmöglich.
Ich werde Support jetzt erstmal versuchen zu ereichen ist zwar ziehmlich teuer mit einem prepaid aber immerhin besser als noch mehr abos hinterher zubekommen.

Ich werde nochmal bericheten was rausgekommen ist oder wird wobei es mir immer noch ein rätsel ist wer wie warum das gemacht bzw geschaft hat.

@PP ich habe mit der Frau bis aufs gemeinsame Kind nichts mehr am hut und das schrieb ich schonmal.

[slahn]

Als aller erstes würde ich den Laptop mal nicht mehr ins Inet lassen. Danach solltest du dir Gedanken machen wie dein Laptop zu deinen Daten gekommen ist ... [Sind sie darauf gespeichert; Hast du sie mal für ein anderes Programm eingegeben; Hatte jemand der diese Daten weiß, zugriff darauf; ...].

PS: Es macht keinen Sinn die Daten aus dem Cookie auszulesen, da sie da nicht unbedingt drin stehen müssen. Ein Cookie ist wie eine Zeitlich begrenzte Eintrittskarte. Diese muss nichts mit deinen realen Anmeldedaten zu tun haben (sollten sie keinen Wert auf Sicherheit legen, könnte es aber schon so sein). Du meldest dich an und bekommst daraufhin einen Code. Mit diesem Code kommt man dann (ohne Anmeldedaten) wieder rein. Irgendwann läuft dieser Code ab und man muss sich neu Anmelden um einen neuen Code zu bekommen. [es gibt quasi keinen Standard was in so einem Cookie steht ... das bleibt jeden selbst überlassen]

[AlCapone25]

So leute update

Nach mehreren telefonaten haben die den account gelöscht und wie ich schon schrieb muss ich gottsei dank auch nichts bezahlen. wobei mir das immernoch schleierhaft ist wie sowas überhaupt passieren konnte .


@slahn ich habe den lappi inzwischen formatiert und wieder xp drauf installiert und wie ich ja schon schrieb der lappi ist ja schon uralt und das er bei firefox + jdownloader schon fast an der grenze ist und ein antiviren programm schon dabei unmöglich ist . Draufhin habe ich zonealarm firewall instaliert um wennigstens etwas geschützt zu sein mit der hoffnung das mir sowas nie wieder passiert. Zum anderen wenn jemand noch ein tipp hat wie man es noch sicherer macht ohne noch grossartig resourcen fressende tools drauf zu instalieren wäre ich dankbar.

[redspot]

OS neu installieren und ein Benutzerkonto anlegen, d.h. du hast wirklich nur Benutzerrechte.
Der Admin-Account wird nur benutzt um SW zu installieren, sonst nicht.
Gibt nicht 100% Schutz, aber sagen wir mal 98%. Dafür braucht es null Ressourcen und kostet nichts.

Adblocker installieren und ggf. noch Nos*****.
Statt Java zu installieren lieber einen anderen DL-Manager nehmen, der kein Java braucht, z.B. Load! von Candisoft.

[slahn]

Zonealarm ist total nutzlos wenn du bereits eine Hardwarefirewall (z.B. einen Router; NAT) hast. Die Firewall gaukelt falsche Sicherheit vor, frisst Ressourcen und kann sogar für weitere Sicherheitslücken sorgen (jede Zeile Code / jede Software bringt zusätzlich gefahren). Dann doch lieber einen leichtgewichtigen Virenschutz ... dieser bringt zwar nach der selben Regel auch Sicherheitslücken mit, aber hat zumindest auch Vorteile/ist nützlich.

[NetWebs]

Ein einfacher MD5-Hash lässt sich in sehr vielen Fällen in Stunden via Rainbowtables ermitteln.
Deshalb gibt es ja überhaupt Salt, welcher aber in vielen Fällen gar nicht zum Einsatz kommt, weil eben viele der Meinung sind (siehe den hier wohl üblichen Kommentar des unwissenden slahn wiedermal!!!), dass ein Hash nicht schnell zurückgerechnet werden kann.