Uitleg van de inmiddels opgeloste 'politiehack'

Zoals je gisteren hebt kunnen lezen was de site van de Nederlandse politie stevig onder handen genomen. Op verschillende plekken werden teksten toegevoegd, onder andere zelfs bij de nieuwsberichten. Een behoorlijk lek uiteraard, aangezien iedereen nu gewoon berichten kon schrijven en posten, zodat het leek dat ze van de politie afkomstig waren.

Om geen last te krijgen met de overheid, hebben we gisteren nog maar niet online gezet op welke manier informatie toe te voegen was aan politie.nl. Nu is het probleem echter al verholpen, aangezien ik gisteren namens Tweakers.net melding heb gedaan van mijn verwachting dat binnen niet al te lange tijd half internet zou weten hoe de site te 'hacken' was.

Het was namelijk wel kinderlijk eenvoudig, en hackcapaciteiten waren niet eens noodzakelijk. Vlak nadat het bericht op de site werd gezet, kreeg ik via icq van een bezoeker (Aikeleer, nog bedankt) te horen dat hij ook al had ontdekt waar het 'lek' zat. Nieuwsberichten stonden namelijk in de vorm http://212.19.195.8/cgi-bin/nieuws/page.pl op de politie-site, waarna het niet zo ingewikkeld meer was de rest te bedenken.

Wat geëxperimenteer leverde de site http://212.19.195.8/cgi-bin/nieuws/edit.pl op, een invulformulier waarmee nieuws toe te voegen was. Geen beveiliging door een wachtwoord of iets dergelijk, niets. Op deze manier werd er vrolijk op los gepost, tot zelfs een porno-plaatje. Overigens stond dit laatste 'bericht' opvallend veel langer online dan de tekstberichten, maar liefst drie uur:

Uiteindelijk is de site even offline gehaald, waarna de nieuws-, links- en opsporingsgedeelten ineens verdwenen waren. Op dit moment zijn de .pl-bestanden blijkbaar weggehaald, en is de site weer up. Althans, via http://212.19.195.8 kom je er terecht, www.politie.nl werkt nog niet:

Can't open perl script "D:\InetPub\wwwroot\www.politie.nl\cgi-bin\nieuws\edit.pl": No such file or directory

Al met al vind ik dit wel een beschamende vertoning. Bij een toch wel belangrijke site als deze, verwacht je een goede beveiliging. Ik weet wel dat praktisch alles te hacken is, maar dit is gewoon hetzelfde als 's nachts de deur open laten staan. Dan vraag je erom dat er iemand binnen komt kijken.

Update: Ik zie dat www.politie.nl nu weer werkt.

Reacties (81)

En nu 'al' op teletekst te vinden:

RIJSWIJK Hackers hebben de website van de politie gekraakt.Ze voegden gisteren boodschappen aan de opsporingsberichten van Politie.nl toe.Deze informatiesite werd daarna onmiddellijk beveiligd.

Dat is snel....
http://teletekst.nos.nl/cgi-bin/tt/nos/page/1 01

edit:
Nu, om 1610, is zelfs een aparte pagina op teletekst gekomen, met andere informatie dan bovenstaand. Zie pagina 103

onmiddelijk beveiligd

Ha, laat me niet lachen. Het heeft zo'n 5 uur geduurd.

Ja, maar als je 112 belt komen ze ook onmiddellijk langs... als ze tijd hebben....

Ik vraag me af of dit ook in de langzame pers zal worden genoemt. En hoe er over tweakers.net word geschreven. "Een broedplaats voor hackers en ander schorrie morrie"

schorrie morrie?

* 786562 Mark

Logisch zou zijn: "Tweakers.net, een site waar misstanden aan de kaak gesteld worden". Of zoiets .

Op deze manier is het netje opgelost, anderen hadden het misschien niet gemeld en zomaar opsporingsberichten geplaatst ofzo.

Hier kan Peter R. de Vries nog een punt aan zuigen!

Hmmm, de telegraaf gaat ervanuit dat T.net wel een heel groot bereik heeft

Via een website voor hackers werd de inbraak wereldkundig gemaakt, waarna het politie-instituut over de kraak werd ingelicht.

Het hele bericht is te vinden in de nieuwslink van de telegraaf of hier: http://krant.telegraaf.nl/nieuwslink/teksten/ nws.web site.politie.nl.gehackt.html

edit:

Volgende keer eerst de rest van de thread maar doorlezen zie ik

Zou T.net niet om een rectificatie kunnen vragen of vragen om publiacatie van de URL. Niet alleen hackers zijn hier regelmatig te vinden.
T.net wordt nu namelijk afgebeeld als een site voor hackers, die zullen er misschien best een aantal zijn maar niet iedereen kan dat.

Misschien tijd voor de politie om eens een paar hackers uit de cel te sleuren en hen te vragen om hulp?

Schijnbaar hadden ze gewoon niet gedacht dat iemand het ooit nodig zou vinden hun site te kraken
Een password voor het newspost formulier lijkt me toch doodnormaal ?!

Heeft er trouwens nog iemand data gepost van radarcontroles? (www.flitsservice.nl heeft er wel een paar). Dat leek me nu wel een gepaste straf

Hier heb je geen hackers voor nodig, maar dat zeg je zelf ook al:

Een password voor het newspost formulier lijkt me toch doodnormaal ?!

Het inhuren van hackers is zoiezo dom. Je huurt toch ook geen inbreker in om je huis te beveiligen?
* 786562 arjenk

Heuuu, veel beveiliginsfirma's hebben ex-hackers in dienst, waarom zou dat nu zijn... mechien omdat zij weten hoe je de zwakke plekjes kan opzoeken en misbruiken?

En om uw voorbeelt te gebruiken:
Waarom niet... een ex-inbreker zal beter kunnen zeggen wat de zwakheden zijn van je huis en waar je vooral moet op letten... niets is onmogelijk om in te breken maar je kan het ze wel effe knap moeilijk maken...

Dan moet je wel verrekte goed weten dat je hackertje loyaal is!
Immers: hij lekt de gaten (zegt 'ie) om vervolgens nieuwe te ontdekken die dan door hem, of z'n vriendjes, gebruikt kunnen worden.

In elk geval: voor bedrijven zou dit nog een mogelijkheid kunnen zijn, maar toch niet voor de politie lijkt me.

Klopt maar wie zegt dat die Beveiliginsexpert die de politsie ingehuurt heeft geen ex-hacker is... kom er maar achter sinds de meeste hackers geen strafblad hebben...

Daarbij mechien is die Beveiligingsexpert nu eens geen hacker maar hij vind toch een opening, wie zegt dat hij zo eerlijk is om er geen muisbruik van te maken...

Hackers hebben een slechte reputatsie gekregen, zeker als je ziet "percentueel" hoeveel van de hackers echt schade willen toebrengen...

En ja, het is en blijft een zaak afhankelijk van de menselijke aard, je ken de meeste corrupte beveiliginsagent aan server werken hebben die geen hacking ervaring had of je kan een eerlijke ex-hacker hebben... zoals je ziet, de menselijk aard is ondoorgrondbaar... en een verlede betekend niet altijd dat die mensen 'de duivels' in persoon is...

Thedalus: een crimineel in dienst nemen is vragen om moeilijkheden. Er is wel enige verwarring mbt de term hacker. Laten we het erop houden dat de beste niet gepakt worden/zijn. Maar die zullen wel een eigen bedrijf hebben inmiddels (ken wel een paar voorbeelden).

Mecallie: ok.
* 786562 arjenk

Ik ben het helemaal met je eens, vandaar dat er ook een achter staat.

Ik kan het ook niet helpen dat ik daarvoor een +3 inzichtvol kreeg ( is nu al weer 2 ).

Het was dus meer bedoeld als geintje (onder en boven tenminste) niet als echt "idee".
Criminelen inhuren om je computersysteem te beveiligen lijkt me een tegenstrijdigheid

Een password voor het newspost formulier lijkt me toch doodnormaal ?!

Dus als er niet eens een password op zat in wat voor simpele vorm dan ook, dan betekend dat dus dat je in ieder geval niet door de wet van de computer criminaliteit gepakt kan worden ?!

how ironic

als ze hun site niet eens kunnen beschermen , hoe moeten ze dan ooit ons beschermen

Dolf Jansen channeling Klaas Wilting: "Wij hebben speciaal getrainde agenten in dienst, die een wapen kunnen herkennen, _zeker_ als het zichtbaar gedragen wordt!"

Welterusten Nederland....

U slaapt terwijl wij waken.....nee

U slaapt terwijl wij hacken

Was het niet....

U hackt terwijl wij slapen????

Paar jaar terug was het ook al mogelijk om via de mail-server van politie.nl mail te versturen, ze relayde het gewoon. Ook het feit dat politie.nl nog op iis3 (paar maanden terig iig wel) draait geeft aan dat ze niet zoveel om de veiligheid van hun webserver geven.

Ook het feit dat politie.nl nog op iis3 (paar maanden terig iig wel) draait geeft aan dat ze niet zoveel om de veiligheid van hun webserver geven.

[boos]
Dat is in mijn ogen best wel crap, IIS 3 met de laatste patches loopt stabieler en is veiliger dan de IIS4 en IIS5 variant. (hint unicode, asphack, frontpage hack) Dit omdat IIS3 een stuk minder complex is. Dus voordat je zoiets zegt zorg er voor dat je weet waar je over praat.
[/boos]

Al met al vind ik dit wel een beschamende vertoning. Bij een toch wel belangrijke site als deze, verwacht je een goede beveiliging. Ik weet wel dat praktisch alles te hacken is, maar dit is gewoon hetzelfde als 's nachts de deur open laten staan. Dan vraag je erom dat er iemand binnen komt kijken.

Het is natuurlijk al heel lang bekend dat elke pagina, hoe goed beveiligd ook, altijd wel een achterdeur heeft. Was het immers www.tweakers.net niet dat ook een beveiligingslek had?

Inderdaad ja, maar dat was tenminste niet zo superduidelijk. In ons geval was het ook per ongeluk, de bedoeling was dat het veilig zou zijn.

Die politie-site heeft niet eens de moeite genomen ook maar iets aan beveiliging te doen.

Oei... Helemaal niets??? Als die cellen ook zo makkelijk te hacken zijn.

maar dit is gewoon hetzelfde als 's nachts de deur open laten staan.

Het is dus hetzelfde als overdag gewoon je tent laten leeg jatten dan. Ik wist niet dat er HELEMAAL geen beveiliging was.

Ik vind het een beetje zielig hoe een aantal mensen meteen begint te zeuren dat de politie maar een zooitje is;

als ze hun site niet eens kunnen beschermen , hoe moeten ze dan ooit ons beschermen

Daar kan de Politie toch niet zoveel aan doen? ze hebben gewoon een gare WebAdmin ingehuurd die gewoon een stomme fout gemaakt heeft. Ik denk dat dit niets zegt over de algemene veiligheid van het computersysteem van de Politie, of over hoe goed de Politie "is".

edit:


* 786562 SqueeBeoordelingen: +1, +1: Inzichtvol, 0: Behulpzaam, +1: Inzichtvol, +1: Inzichtvol, -0.80: Overgewaardeerd, +0.67: Inzichtvol, -0.57: Overgewaardeerd, -0.50: Overgewaardeerd, +0.44: Inzichtvol, +0.40: Inzichtvol, -0.35: Overgewaardeerd, Totaal: 3.29 / 12x

Dan hadden ze een goed antecedenten onderzoek moeten doen.

Ik denk dat dit niets zegt over de algemene veiligheid van het computersysteem van de Politie, of over hoe goed de Politie "is".

Ik den van wel, er is hier duidelijk niet goed nagedacht over de veiligheid van hun site.
Omdat een van de taken van de politie is, het waken over onze veiligheid mag je verwachten dat ze eerst hun eigen zaakjes voor elkaar hebben.

Al is het een simpele website .

ik had er gister ook al op gereageerd. de echte belangrijke data is echt niet aan het net gehangen hoor!

de politie heeft de kennis er nog niet voor om dit volledig te beveiligen. de nederlandse politie is nog lang niet zo ver als de FBI of CIA. die hebben die kennis namelijk wel. en het geld om die mensen te betalen.

waarom zullen ze iemand aannemen die twee keer zoveel kost als de ingerolde politie-computerfreak.

dit omdat ze daar het budget niet voor hebben of niet willen. ik hoop dat dit nu een schikreactie veroorzaakt.

waarom zullen ze iemand aannemen die twee keer zoveel kost als de ingerolde politie-computerfreak.

Nou, misschien om te zorgen dat het niet mogelijk is DAT DE HALVE WERELD OPSPORINGSBERICHTEN KAN PLAATSEN?

POLITIE: Zit niet te

Het gaat niet hoe veilig het eea werkelijk is. Het gaat er om dat het publiek zo een verkeerde indruk krijgt. Mensen onthouden een enkel klein foutje VEEL langer en beter dan de duizenden dingen die je goed doet. Elke keer dat de politie in de toekomst in het nieuws is, zullen er mensen zijn waarbij de de associatie "prutsers" (oid) onbewust naar boven komt.

De politie is afhankelijk van de publieke opinie. Daarom is het belangrijk dat je niet negatief in het nieuws komt.

Banken hebben hetzelfde "probleem", kijk maar naar de ABN/AMRO. Ik wed dat er hier nu enkele honderden mensen denken aan het feit dat er een lekje in hun software zat. Dat iemand met kwaaie zin nogal een berg werk moest verzetten om hier misbruik van te maken wordt lang zo goed niet onthouden. Dat er helemaal niemand aangifte heeft gedaan dat het ook werkelijk gebeurd is, weet ook niet iedereen meer.....

De website beheerde had gewoon beter zijn huiswerk moeten doen, en de gehele site regelmatig (minimaal 2 keer per jaar) laten controleren door een externe instantie die daar ervaring mee heeft....

* 786562 MadMarty

Just my brainfart.....

Hadden ze hier nou niet die Cybercops voor

Websites van bedrijven "spreken" voor het bedrijf, dat wilt zeggen dat ze het bedrijf vertegenwoordigen. Als de site van de Politie dan niet goed beveiligt is, geeft dat derhalve de indruk dat de Politie zelf ook sommige punten niet genoeg aandacht geeft. 't Is dus in dat opzicht niet zo gek om te denken "dit is amateuristisch opgezet, dan zal de Politie ook wel zo zijn".

Mensen krijgen een indruk van een bedrijf, of overheidsinstantie, door de presentatie ervan. Zij het door een website, een reclamespotje of whatever. Als dat amateuristisch gebeurt, dan haalt dat gewoon het imago van een bedrijf onderuit. Wilt niet zeggen dat het ook amateurisch is bij de Politie, maar het is wel duidelijk dat ze op sommige punten meer aandacht moeten besteden, zoals de vertegenwoordiging van de Politie.

open ik vanmorgen mijn e-ochtendkrantje en tada....staat er een link in naar t.net waar ff uitgelegd wordt hoe het gedaan is....ik neem aan dat dit soort pr niet jullie bedoeling was