Admin Passwort ungeschützt

[Jenny]

Jo jpwfour, vms1.1 aber bitte glaube mal nicht das die erhöhten Versionen besser sind, es beginnt mit der Userprofil und endet im Grunde genommen im Admin ................ Wenn ich Dir jeden gefundenen bug oder Fehler senden sollte, sorry, da bin ich länger als nur nen paar Tage beschäftigt mit. Warum? weil ich mittlerweile so ziemlich alles komplett durch gehe und die einzelnen Variablen weitgehend absichere. Die verschiedenen Zusatzmöglichkeiten kennst Du ja.

Was ich festgestellt habe ganz grob ist an sich dass die 1.2 und höheren Versionen zwar das Design auf css umgestellt haben aber an sich am ursprünglichen Grundscript nur wenig verändert und auch wenig gesichert wurde. Einzelne Hauptfunktionen in der functions.lib.php o.k. jo, das gemacht worden, aber ansonsten und das das ausreichend ist kann ich nicht bestätigen.

Nehmen wir die Schnittstelle ............ ist klamm platt wird ......... Du weisst was ich meine denke ich mal und da hast an sich schon den ersten simpel ausnutzbaren "Bug"

Einfach zu beseiten durch @ noch besser zu beseitigen durch display error Off ........

Schau einfach mal durch und ich denke Du findest dann noch viel viel mehr extrem simpel ausnutzbare Geschichten

[jpwfour]

... zu beseitigen durch display error Off ........
...

Ok, sowas wird bei "solchen" Skripten dann iwie vorausgesetzt. Also dass serverseitig PHP schon ausreichend sicher vorkonfiguriert ist. Da aber viele VMS noch auf PHP4 betrieben werden, Fehlermeldungen an den Aufrufer ausgegeben etc., kann manden Leuten halt auch schlecht helfen.

.htaccess Passwortschutz fürs Adminforce wird an vielen Stellen empfohlen, machen aber auch nur wenige. Sicherheit kommt zum Großteil durch den Webbi selber.

Wenn ich dran denke, wie viele PNs ich der Art bekomme:
"Du, kannst du mir nicht Addon XY einbauen? Addon & FTP Daten im Anhang"...

Das jeder "Progger" mit den FTP Daten automatisch Komplettzugriff erlangt, ist Vielen wohl nicht bewusst oder es stört sie nicht (solang bis dann doch was passiert).

Ein paar Webbis konnte ich immerhin von der Nutzung einer Versionsverwaltung (bspw. SVN) überzeugen, das schützt nicht nur vor Angreifern, sondern hauptsächlich vor unsachgemäßem Verhalten des Webbis und der sg. "Progger"

[Jenny]

Wir reden hier nicht von irgendwelchen Versionen und ob php4 oder php5, sondern davon, dass einfach sehr sehr viele Addons kaum bis keine Variablen Absicherung haben und das so ebenfalls jedem Tür und Tor geöffnet ist.

Klar die Mails kannste mal Daten im Anhang *lol* o.k. da sind sich viele nicht klar drüber was sie da wirklich tun. Gerade Neulinge im Net sind da doch zu vertrauensselig und schauen auch nicht danach wer das ist der ihnen da was machen soll. Habe da auch schon so einige Klamotten erlebt *lol*

Was mir aber immer wieder auch auffällt ist z.B. wenn bei vms ein update kommt *lol* ............. tolle Sache, aber alte Fehler bleiben drin. .......... *lol*

z.B. die Geschichte mit dem reload der fehlte oder immer noch fehlt??? in der topframe_forced

und viele viele weitere Kleinigkeiten

Es kann doch nicht Sinn der Sache sein ein Update heraus zu bringen wo alte Fehler nicht bereinigt werden oder wo z.B. sicherheitsrelevante Sachen die bekannt sind nicht gefixt sind ................... sorry, das ja so als kaufe ich nen frisch auf den Markt gekommenes Auto wo der Motor fehlt oder die Bremsen runter sind oder so was

[Lokutos]

Wir reden hier nicht von irgendwelchen Versionen und ob php4 oder php5, sondern davon, dass einfach sehr sehr viele Addons kaum bis keine Variablen Absicherung haben und das so ebenfalls jedem Tür und Tor geöffnet ist.

Klar die Mails kannste mal Daten im Anhang *lol* o.k. da sind sich viele nicht klar drüber was sie da wirklich tun. Gerade Neulinge im Net sind da doch zu vertrauensselig und schauen auch nicht danach wer das ist der ihnen da was machen soll. Habe da auch schon so einige Klamotten erlebt *lol*

Was mir aber immer wieder auch auffällt ist z.B. wenn bei vms ein update kommt *lol* ............. tolle Sache, aber alte Fehler bleiben drin. .......... *lol*

z.B. die Geschichte mit dem reload der fehlte oder immer noch fehlt??? in der topframe_forced

und viele viele weitere Kleinigkeiten

Es kann doch nicht Sinn der Sache sein ein Update heraus zu bringen wo alte Fehler nicht bereinigt werden oder wo z.B. sicherheitsrelevante Sachen die bekannt sind nicht gefixt sind ................... sorry, das ja so als kaufe ich nen frisch auf den Markt gekommenes Auto wo der Motor fehlt oder die Bremsen runter sind oder so was

Dies ist korrekt so wird auch in zukunft nicht mehr passieren...
nur aktuell steht bei mir noch was vorrangig vor einem update des VMS.

[Jenny]

Gut, wenn Du so weit bist gib Bescheid, evtl, wenn ich dann auch Zeit habe können wir das gern gemeinsam in Angriff nehmen

[Xenon]

.htaccess Passwortschutz fürs Adminforce wird an vielen Stellen empfohlen, machen aber auch nur wenige. Sicherheit kommt zum Großteil durch den Webbi selber.

Man könnte dazu noch den ordner umbenenn, ganz nachdem motto:
domain.de/sds8df79sg0fgfdsnzdfgzndgs8q56d87f5sdfb/
so, nun kann keiner das adminforce finden außer dem admin. der kann das als lesezeichen o.ä. abspeichern falls er sich das nicht merken kann

[Masterphil]

Man könnte dazu noch den ordner umbenenn, ganz nachdem motto:
domain.de/sds8df79sg0fgfdsnzdfgzndgs8q56d87f5sdfb/
so, nun kann keiner das adminforce finden außer dem admin. der kann das als lesezeichen o.ä. abspeichern falls er sich das nicht merken kann

Hört sich nach einer guten Idee an, jedoch müssten dann alle Pfade im alten Adminforce angepasst werden, und fast jede Datei gecheckt werden.

Also erstmal sollten wir das AdminPassowrt selbst nur noch verschlüsselt speichern, hier könne wir ansetzten, es ist eine kleine Änderung. Übers We werde ich mich da mal ranmachen wenn keiner zuvorkommt.

MfG

[Xenon]

Hört sich nach einer guten Idee an, jedoch müssten dann alle Pfade im alten Adminforce angepasst werden, und fast jede Datei gecheckt werden.

Nein, da die links so sind, dass man den link ohne probleme ändern kann (hatte ich auch schon so gemacht). Und auch wenn es nicht gehen sollte, macht man replace "adminforce => sds8df79sg0fgfdsnzdfgzndgs8q56d87f5sdfb"

Also erstmal sollten wir das AdminPassowrt selbst nur noch verschlüsselt speichern, hier könne wir ansetzten, es ist eine kleine Änderung. Übers We werde ich mich da mal ranmachen wenn keiner zuvorkommt.

MfG

einfach bei pageconfig.php da wo er es einsätzt, folgendes amchen die md5hash funktion eingeben (md5hash(); oder so)

[auron2008]

Hört sich nach einer guten Idee an, jedoch müssten dann alle Pfade im alten Adminforce angepasst werden, und fast jede Datei gecheckt werden.

Nö weil relative Pfade verwendet werden

[Xenon]

Nö weil relative Pfade verwendet werden

Nein, da die links so sind, dass man den link ohne probleme ändern kann (hatte ich auch schon so gemacht). Und auch wenn es nicht gehen sollte, macht man replace "adminforce => sds8df79sg0fgfdsnzdfgzndgs8q56d87f5sdfb"

*Zeichen voll*