Stort dansk spil-site offentliggjorde database-password ved en fejl

Gratisspil.dk havde problemer med PHP-fortolkeren, hvilket betød, at kildekode og password til databasen blev vist for de besøgende i flere timer. Ingen kunne dog misbruge oplysningerne.

Besøgende på Gratisspil.dk fik sig onsdag formiddag en overraskelse. I stedet for de sædvanlige bunker af Flash-spil, var indholdet skiftet ud med kildekode fra de PHP-filer, websiden er bygget op af.

Og på nogle af siderne med kildekode var der temmelig kritiske oplysninger at finde. Brugernavn og password til databasen bag Gratisspil.dk lå nemlig til frit skue for de besøgende.

»Vi havde et teknisk uheld, hvor PHP-fortolkeren gik ned på den ene server. Så PHP-filerne blev ikke fortolket, og man så i stedet kildekoden fra filerne,« forklarer Trien Huy, der sammen med sin bror står bag det populære spilsite.

Fejlen ramte én ud af tre servere, og dermed kun cirka en tredjedel af de besøgende, og det tog mellem to og tre timer at få sitet på ret kurs igen. Men selvom adgangskoden til databasen lå frit fremme, har der ikke været risiko for uønskede gæster, forklarer han.

»Man kunne se koden til databasen, men kun hvis man var det rigtige sted. Og man kunne ikke logge ind, med mindre man er på vores IP-adresse, så det var ikke noget, der kunne misbruges,« siger Trien Huy.

Nu er opbygningen af websiden blevet ændret, så samme fejl ikke kan ske igen.

»Det var selvfølgeligt meget uheldigt, at den slags skete for os. Men vi rettede op på problemet, så hurtigt vi kunne, og har taget ved lære. Sikkerheden er blevet strammet op, så det ikke kan ske igen, hvis PHP-fortolkeren går ned,« siger Trien Huy.

Gratisspil.dk har omkring 3.000 spil på lager og en solid brugerskare. I marts måned besøgte 315.000 forskellige brugere websiden over tre millioner gange.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (5)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Ove Andersen

Netop, sådanne fejl skal udnyttes, og ikke i den forstand at de skal misbruges, men at de skal hjælpe som oplysning og som eksempel for andre til hvordan man undgår en sådan situation.

Så fremstår de også meget mere åbne, venlige og fornuftige, frem for de firmaer der kører efter drejebogen: Benægt fejlen, marginaliser fejlen, nægt at udtale sig om fejlen, rette fejlen og lade som ingenting over for omverdenen, håbe alle glemmer det.

Uheld kan ske for alle..

  • 0
  • 0
Trien Huy Ly

Hej Lars

Det var nu Version2, der tog kontakt til os.

Vi har dog ikke noget imod at være åbne så længe åbenheden ikke kompromitterer noget. Det er rart at kunne dele lidt ud af erfaring, omend de er opnået på en meget uheldig omstændighed.

  • 0
  • 0
Jacob Christian Munch-Andersen

En af de ikke så ofte udtalte sikkerhedsregler som dette illustrerer er at graceful degradation kan eskalere fejl til sikkerhedsbrister. Når PHP-fortolkeren ikke svarer så burde serveren svare med en fejl 500, at den gør "det bedste den kan" afhjælper på ingen måde problemet, derimod bringer det sitet i en tilstand som udviklerne ikke havde forudset, som derfor ikke er indtænkt i sikkerhedsmodellen.

  • 0
  • 0
Log ind eller Opret konto for at kommentere