Tjabba Gudrun, antar att du sitter och filar på ett jätteinlägg i detta just nu där du kommer med massor av ord och meningar kommer motbevisa noBuzz med påhittad fakta? Antar detta bara för du brukar ju göra det 
Tänkte bara göra dig en liten tjänst innan du postar och upplysa dig om att jag träffat noBuzz några gånger och vet att han jobbar med detta. Så han ligger minst två divisioner över dig i detta ämne och ett flertal över mig. Men du skall ha creds ändå från mig, även om du försöker bluffa med lager och kod. Jag kände till exempel till Exif redan innan tråden startade, men hade inte en aning om att där låg en tumnagel i den med. Trodde den nageln jag såg i mitt Exif-program ritades upp från bilden. Och jag blev väldigt imponerad över att det faktiskt gick att förstora denna nagel så du fick fram telefonnumret. Trodde det var omöjligt ur en så liten bild. Så trots allt ditt ordbajsande så har du lärt mig en del
Tack, Farang, för de värmande orden. De är så välkomna i en diskussion där man mycket väl kan käbbla lite fram och tillbaks om det ene eller andra.
Vad jag dock har betydligt svårare med är den personligt nedsättande tonen som noBuzz fört in i diskussionen i tron att någon trängt in i hans revir. Javisst, jag har väl delat ut den ena och andra kängan också i form av ett allmänt raljerande, men jag har aktat mig noga att inte gå över gränsen till det som jag betraktar som personligt respekt. I stort sett alla inlägg har jag påpekat detta för noBuzz, men på det örat verkar han vara döv. Jag kan absolut inte upptäcka något i mina inlägg som ifrågasätter hans kompetens inom det området som han betraktar som sitt. Tvärtom, jag har bemödat mig att gång på gång intyga för honom all den respekt som en yrkesman förtjänar. Jag har uppmanat honom att äntligen "nollställa" okvädningskontot, men utan resultat. Från inlägg till inlägg förskjuts tyngdpunkten mer och mer ifrån en teknisk argumentation mot ständiga försök att misstänkliggöra mig som person.
Jag kan för mitt liv inte förstå vad denna typ av argumentation har att göra i en debatt som förs som ett tidsfördriv och som handlar om allt mellan himmel och jord. Saker som man kan ha väldigt olika uppfattningar om blir föremål för bittra tvister om tolkningsföreträde. Och så hamnar man i en ond spiral om vad som har sagts av vem, om s.k. påståenden som har lagts i munnen på mig eller rentav har uppsåtligen vantolkats.
Ta bara det absurda påstående om exekverandet av ett sqlskript i en JPEG-bild. Upprinnelsen till detta var en mening i ett helt annat sammanhang där kombinationen av sqlkod och bild hade till syfte att påpeka möjligheten att "transportera" kod(sql) till en server i en oskyldig förklädnad (bild):
…
Om man vet hur denna databas är organiserat (IP-Board tillhandahåller givetvis lämplig dokumentation) samt hur man kan "bädda in" ett sqlskript i förslagsvis en jpg-bild (givetvis krävs det "viss" kunskap om jpg-arkitektur), då förstår du hur man slipper att bli admin på ett forum.
…
Det var bara ett exempel på ett förfarande där det förmodligen finns väldig många andra varianter, alla med samma syfte, nämligen att plantera kod på en SERVER som kunde (i ett senare skede) användas för att komma åt information i en sql-databas. Det sades absolut ingenting om hur man gjorde detta utan denna mening avrundades med den medvetet mycket vagt hållna formuleringen "… då förstår du hur man slipper att bli admin …". Ingenting sades alltså om att koden skulle exekveras när bilden visades. Detta skulle ju vara helt meningslöst eftersom det är KLIENTENS browser som sköter detta på klientens (användarens) dator. Där finns väl ingen sql-databas, eller hur. Denna felaktiga tolkning introducerades dock olyckligtvis av den annars oskyldige Herr Chang genom följande formulering:
…
Tillåt mig tvivla på att du kan få SQL inbäddad i en JPEG-bild exekverad på detta forum. Blir dock gärna motbevisad om du anser det möjligt.
….
Observera att den gode Herr Chang inte heller påstår att sql-koden blir exekverat när bilden visas, men hans olyckliga formulering för ju onekligen tanken dithän för den oinvigde. Därmed lades embryon till ett påstående som helt igenom är felaktig och i sitt sammanhang meningslöst.
Vid denna tidpunkt hade jag ju inte kunnat ana till vilka spekulationer mina måhända något vaga formuleringar skulle ge upphov till. Därför kommenterar jag helt allmänt intrångsproblematiken med avseende på närliggande tekniker som flitigt används av skurkarna på internet och som jag antar att alla känner till. Inte heller där görs några påståenden om hur man på ett forum kommer över information via sql-kod inbäddat i en JPEG-bild. Snarare vilka andra mera ogenerade tekniker man kunde tänkas använda (inbäddad kod i ett inlägg) om man har den nödvändiga detaljkunskapen om databasen. Och då svarar jag på en admin's inlägg som har andra befogenheter gentemot databasen än en vanlig användare. Självfallet utgår jag ifrån att denna form av sql-injection är blockerat på MPR för gemene man, inte minst genom den gode Surin P3's försorg (inställningsparameter?).
….
Det är oftast det som händer när du tittar på en bild på vackra Natascha i din spammejl. Och eftersom de är ute efter pengar, så går det numera bra att köpa nödvändig programvara för en billig peng på internet, givetvis helt anonym.
….
Om man struntar i upptäcktsrisken går det förståss bra att köra SQL via ett kodstycke i ett vanligt inlägg. Ni moderatorer har ju tillgång till alla tabeller i ett speciellt SQl-fönster. Där kan ni se alla tabeller med kolumnbeskrivningar och testa alla tänkbara SQL-kommandon. Med lite handpåläggning går det bra att formulera om texten till ett kodstycke. Prova och se!
….
Herr Chang svarar att han inte har tillgång till tabelldefinitioner etc för att kunna formulera sql-kod och att han, vilket är hans goda rätt, fortfarande tvivlar på att komma åt databasen via ett inlägg. Genom hans i och för sig försiktiga formulering "om jag förstår dig rätt" förstärks ändå tolkningen att det "genast händer något" när inlägget eller bilden hamnar på en admins skärm. Vi har nu kommit en bra bit ifrån min ursprungliga formulering och dess syfte.
…
Jag tvivlar dock fortfarande på att man med ett inlägg på detta forum skulle kunna komma åt någon dold information. Bevisa gärna att jag har fel! Om jag förstår dig rätt så menar du att om admin Surin P3 läser ett lömskt inlägg från dig så kan hela databasen exponeras för dig?
…
Efter detta svar skickar jag ett PM till Herr Chang med information som jag ansåg inte var lämpligt att publicera i ett offentligt inlägg. Detta PM handlade mest om möjligheten att snabbt skaffa sig den specifika kunskapen om en IPB-instans som utgör modellen för MPR. Där kunde man i detalj studera alla tänkbara aspekter från root-admin-nivå, både kod och databasen. Detta är i och för sig ingen hemlig information men utgör en viktig pusselbit i intrångsfrågor, precis som Honken i ett tidigare inlägg påtalar.
Det är nu som noBuzz dyker upp som gubben ur lådan. Han gör sitt inträde i med sin alldeles karakteristiska hälsningsfras som omvittnar hans omtanke om diskussionsdeltagarnas välvilja:
Läste jag rätt, eller drömde jag bara? Ett revir-kiddie hade äntrat scenen och skulle hädanefter bevisa att alla andra minsann bara var idi*ter. Och genast kommer lokalmatadören att avfärda ett påstående som INGEN har gjort med en tydlig irritation över diskussionsdeltagarnas inkompetens. Det s.k. påståendet förses ytterligare med några självpåtolkade IT-finurligheter för att inge respekt. Vadå lokal databas? Vadå mailklient? Vadå exekverbar sqlkod?
….
Att bädda in sqlkod i bilder som skulle vara exekverbara mot någon lokal databas enbart via visning i webläsaren, eller en mailklient, är bara att glömma. Det går inte.
…..
Buzzen hade nog inte tid att läsa alla inlägg mera noggrann för att upptäcka sitt felaktiga tilltag. Och Buzzen är Buzzen, dvs har mycket svårt att backa från en intagen position. Precis som revirhundarna på en thailändsk strand. Så det gäller bara att visa tänderna och kämpa vidare. Därför följer en blandning av många fina IT-glosor och högtravande självklarheter. Jag har då fått in binärkod i bilden med betydligt enklare metoder än vad han vill låta påskina att det behövs. Så enkla till och med att jag nästan skäms att avslöja dem och för att inte bli idi*tförklarat av noBuzz igen. Felet med tumnaglar var ju bl.a. att metoden inte var tillräkligt tekniskt invecklad för honom, fastän jag tyckte att det var precis det som utgjorde kryddan i diskussionen?
…
För att åstadkomma en meningsfull exekvering behöver du en minnesresident applikation som kan hantera anslutning till en databas, exekvera frågor och
hantera svar. Att bara bädda in lite kod har noll värde.
Det går att lägga till packad sqlkod eller annat packat material , i binär form till bilden och sedan köra bilden som t.ex ett zip-arkiv trots jpg-ändelse och få
miljön att packa upp tillagd info. Via t.ex coldfusion, java eller andra miljöer som tillåter bytdatamanipulation är detta möjligt.
Detta är dock tämligen värdelöst om du inte kan exekvera bifogad binär kod. Något som alltså inte är möjligt bara via en vanlig bildvisning.
Vad gäller att bädda in sqlfrågor i inlägg så är IP.Board skyddat mot "SQL Injections" sedan länge.
Dock har noBuzz säkert rätt angående sql-injections i inlägg. Men det är oftast inte denna teknik som avses när man pratar om de mera intrikata formerna av sql-injections. Ett system som IPB förfogar förmodligen över en intern funktionalitet som i slutändan utmynnar i sql-instruktioner eller anrop av lagrade procedurer. Det är alltså inte sql-kod rakt av vi pratar om och därför väldigt svårt att identifiera. Men det är ju som sagt bara hypoteser och inga påståenden.
Vi har nu sett hur flera uttryck i helt olika sammanhang och med helt annorlunda innebörd förvanskas till kategoriska påståenden som man lägger i munnen på varandra. Det brukar gå över flera stationer precis som skvaller och ryktesspridning. I varje station lägger man till en bit och så blir det som det blir i slutändan. Kanske inget problem för de flesta på ett diskussionsforum som t.o.m. ser ett underhållningsvärde i hur en diskussion flyter fram och utvecklar och förgrenar sig. Det brukar gå bra så länge alla inblandade inte lägger varenda ord på guldvågen. De kanske håller inte med i allt, men följer ändå diskussionsförloppet med ett visst roat intresse.
Tyvärr tar det roliga slut när någon av en okänd anledning känner ett behov att sätta ner foten i diskussionen. Det är en vantolkning här, ett förfluget och nedsättande ord där, en tredje som försöka skynda till kompisens hjälp och en självutnämnd domare som bara häller oljan i brasan. Det är på detta sätt en i och för sig spännande diskussion, där vi all kan lära av varandra, urartar i ren pajkastning eller utmattningsslagsmål. Det är väl många diskussioner på MPR som har fått gå detta bittra öde tillmötes, mest genom att några deltagare har bundit upp sig alldeles för hård genom kategoriska uttalanden om andras personliga egenskaper.
Jag vill därför uppmana alla deltagare att numera betrakta alla s.k. påståenden i sitt rätta sammanhang, även om man då måste bläddra några inlägg tillbaks för att få koll på hur det egentligen ligger till. Att kritiklös ta över andras tolkningar och formulering leder bara till meningslösa konfrontationer. Vidare föreslår jag att man betraktar varandras åsikter mer eller mindre som hypoteser som får sin styrka/svaghet genom de argument som talar för eller emot dem. Härvid är det naturligtvis nödvändigt att alla parter har en liknande uppfattning vad hypotesen verkligen säger och vad den inte säger och vem som stöder resp. förkastar den. Och som i all kunskapsarbete måste bägge sidorna arbeta för sina positioner. Har man tagit ställning emot en hypotes, räcker det inte med att enbart sabotera för en evtl verifiering av hypotesen. Man har en förbannat skyldighet att också visa varför en hypotes anses vara falsk. Vid det här tillfället måste jag faktiskt berömma Farang som då och då har försökt sig på någon form av bevisning varför någon hypotes inte kunde vara sant. Denna form av argumentering har helt lyst med sin frånvaro hos noBuzz, trots att han bättre förutsättningar än Farang. Detta tycker jag är djupt beklagligt och jag ser fram emot en betydande uppryckning på den punkten. Hörde du mig, Buzzen?
Ja, nu blev det ett sånt superlångt inlägg igen. Men jag hoppas att jag har klargjort några punkter som jag anser viktiga i en fair debatt. Under tiden filar jag vidare på min alldeles egna IPB (3 medlemmar) som root-admin för att hitta några smaskiga kryphål. Den som söker också finner, brukar det heta och jag tror det här är inget undantag. Givetvis kommer jag att rådgöra med Surin P3 innan jag eventuellt publicerar känsliga aspekter. Så ni kan vara lugna på MPR, jag kommer att hacka på mitt eget forum efter hjärtans lust och pröva lite olika metoder, alltefter jag få mer och mer kläm på vad som finns bakom kulisserna. Det kan ta lite tid, men jag lovar att jag hör av mig regelbundet om det ena eller andra.
P.S. Cobolkiddie, nej tack! Jag skrev min sista Cobolrad ca 1988, dvs för mer än 20 år sedan. Sedan dess har jag ägnat mig mycket åt andra modernare programmeringsspråk, främst C och därefter C++, tillsammans med djupdykningar i databasers värld på såväl små som stora datorer, givetvis i företrädesvis sql-miljö. Numera är det inte så mycket kod jag skriver själv utan jag lämnar det mesta åt andra och framförallt åt maskiner som genererar det mesta av koden. Det viktiga i är att man har ett grundläggande humm om vad som kan göras och vad som inte kan göras. Och då är vi tillbaks i hypotesernas värld.
GmT
