Ja, Leute. Es ist wieder da. Das Leck, das ebay nie wirklich gestopft hat.

Betroffen sind vor allem Accounts mit Freemail-Adressen, die aufgegeben wurden. Da ebay ja inzwischen die komplette Kommunikation an sich gerissen hat, fällt dem einen oder anderen gar nicht auf, dass die Mailadresse, die er bei ebay mal hinterlegt hat, inzwischen platt ist. Das ist natürlich sehr nutzerfreundlich. Immer diese lästigen e-Mails. Da ist so ein tolles neues Kommunikationssystem, in dem ebay fröhlich rumschnüffeln kann, doch gleich viel schöner.

Durch diese verfallenen Mailadressen öffnet sich ein Einfallstor, bei dem man Vorname, Zuname und ebay-Account frei Haus geliefert bekommt, sobald man die Mailadresse kontrolliert und der Account alt genug ist, dass er Nur-Text-Mails haben möchte. Ob man die Mailaddi nun hackt oder sich einfach eine Adresse aneignet, die zufällig frei ist, macht dabei keinen Unterschied. Hauptsache, ebay kann einen anmailen und das nicht per HTML

Ich bin mir nun nicht ganz sicher, ob ich das hier reinschreiben soll. Aber mir hat ebay eben eine Mail geschickt, die mich mit Freude erfüllt. Sie beginnt mit

eBay hat diese Mitteilung an Nachname, Vorname (account) gesendet.

Ihr Vor- und Nachname in dieser Mitteilung sind ein Hinweis darauf, dass die Nachricht tatsächlich von eBay stammt.

Da steht natürlich nicht account sondern tatsächlich der Account. Und auch der komplette Name. Und das Beste daran: Ich musste nicht mal was tricksen. Früher musste man dazu mit gefälschtem Absender und einem passend abgeänderten reply-to mailen. Ob diese Methode heute noch geht, habe ich jetzt aber nicht getestet. Muss ich auch nicht, heute geht das einfach mal eben so.

Ok, dann zur Methode. Ist ja sowieso egal. ebay ist bekanntlich sicher. Der Dr. Stefan hat's gesagt.

Wir benötigen eine Mailadresse, zu der ein Account bei ebay existiert. Dürfte nach dem Hack von 2014 kein größeres Problem darstellen. Sonst einfach mal die Billigvarianten durchprobieren. 0815vorname0815zuname@freemailer.de oder so.

Damit mailt man an ebay. impressum@ebay.de.

Fertig. Ja, genau. Fertig.

Mit Account und vollständigem Namen kann man natürlich dann bei ebay anrufen und denen was vorjammern, man hätte sein Handy verloren und das Passwort vergessen. Weil man ja den vollständigen Namen hat. Und die Mailadresse. Und den Account.

Also falls noch wer 'nen ebay-Account braucht, aber zu faul ist, sich einen anzulegen...

Gar nichts mehr im Griff. Absolut gar nichts.

Du musst dir die Programmierung von ebay ungefähr so vorstellen wie eine riesige Schüssel Spaghetti. Der Profi nennt das ja genau deshalb auch Spaghetti-Programmierung. Nicht etwa deshalb, weil der Programmierer Italiener wäre.

Und da drin, in dieser Schüssel, willst Du jetzt ein einzelenes Spaghetto austauschen. Also ziehst Du an einem Ende, damit Du es rausbekommst.

Nun hat die Sache drei Haken. Erstens ist da normalerweise keine Soße drin. Die Spaghetti kleben also aneinander. Du ziehst mit dem einen daher einen ganzen Klumpen Spaghetti raus.

Zweitens ist da - hab ich schon erwähnt - normalerweise keine Soße dran. Die Chance, dass Du das eine Spaghetto abreißt ist also nicht unerheblich. Bis es so weit ist, hast Du in der Schüssel aber schon genügend andere Spaghetti durcheinander gezogen.

Drittens - und das ist nun das eigentlich Knifflige - musst Du, falls Du dein einzelnes Spaghetto rausbekommen hast, ohne all zu viel andere Spaghetti mit rauszuziehen, das neue Spaghetto wieder an die selbe Stelle fädeln, an der das alte war. Und idealerweise alle anderen Spaghetti auch wieder dahi praktizieren, wo sie vorher waren.

ebay geht nun noch einen Schritt weiter. Die schütten nämlich ordentlich Käsesoße über ihre weichgekochten Spaghetti und lassen das Ganze dann kalt werden. Damit hat der Inhalt der Schüssel in etwa die Konsistenz eines Eimers Hartweizenpapp mit Kleber.

Ab und zu kochen sie auch einfach neue Spaghetti, obwohl es die in der Schüssel schon gibt. BEstes Beispiel war der Upload von externen Bildern. Früher konnte man über die CSV-Schnittstelle sechs Bilder übergeben. Das war normal, ebay hatte nur sechs Bilder. Dann kam die Einschränkung auf ein externes Bild. Meinetwegen. Sollen sie. Dann haben sie die externen Bilder auf ihren eigenen Servernabgespeichert, damit der VK nicht einfach das Bild bei sich ändern konnte. Auch ok.

Dann hat ebay 12 Bilder erlaubt. Und die konnte man entweder direkt hochladen oder im Enistellformular die URL der 12 Bilder angeben. Die CSV hat trotzdem nur ein Bild angenommen. Hat die Dokumentation der CSV-Schnittstelle gesagt. Der Uralt-ebay-Verkäufer, der seit Jahren mit der CSV-Schnitttelle gearbeitet hat, hat aber einfach 12 Bilder per CSV übergeben. Denn die konnte schon immer die maximale Zahl an Bildern übergeben. Wenn man wusste wie's geht. Und wie das ging, stand vor rund 20 Jahren in der Doku für die CSV-Schnittstelle.

Trotzdem haben die das ganze Ding dann neu programmiert, statt die alte Funktion in den regulären Upload einzubauen. Mit dem schönen Nebeneffekt, dass man über das Einstellformular keine Bilder nachladen konnte, wenn man voher mit der CSV gearbeitet hat. Und über die CSV keine Bilder nachladen konte, wenn man vorher mit dem Upload im Formular gearbeitet hat. Weil ebay das in unterschiedliche Datenbankfelder gesteckt hat.

Spaghetti eben.

Du musst das mal aus der Perspektive betrachten: Wenn man im ebay-Forum, besonders im MhM, zu viel Wissen über ebay und seine ganzen Macken offenbart, ist man da drüben auch ganz schnell weg vom Fenster. Was dann übrig bleibt, sind die Klatschäffchen und Jubelperser.

Stell dir mal vor, jemand würde die Sicherheitslücke, die ich im EP beschrieben habe, bei ebay posten. Womöglich sogar noch präziser und mit konkreter Anleitung, wie man das umsetzt und mit welcher Software man das macht.