Hallo zusammen,
mir ist gerade auf unserer Seite eine gefährliche DOS Lücke aufgefallen.
Ich verwende einen typischen "Druckansichtslink" welchen ich im Typoscript mittels Typolink erzeuge. Die Parameter z.B. bei der TT_News Single Ansicht hänge ich mittels addQueryString an den Link, funktioniert auch wunderbar.
Nun kommt der Haken. Fast alle meine Seiten sind gecacht und ich verwende überall den cHash. Manipuliere ich jetzt die GetParameter (z.B. durch anhängen einen weiteren Variable) merkt Typo3 das auch und schaltet den Cache ab. Lässt sich schön im SystemLog sehen und ist ja auch so richtig.
Der Haken ist bloß: Der manipulierte Parameter erscheint trotzdem im Druckenlink und zwar mit korrekt erzeugtem cHash. Ein Angreifer könnte nun also ohne Probleme jede Menge Zufallsparameter übergeben. Dadurch würde bei jedem Request ein cHash in der DB abgelegt und zwar solange bis die DB voll ist oder der Server in die Knie geht.
Wie macht ihr das?
Mein Workaround: Ich prüfe per TSCondition ob TSFE:no_cache gesetzt ist, falls nicht darf der cHash berechnet werden.
Achso, ich muss die Druckansicht zwingend Cachen, da ich eine Webcode Extension einsetze die nur auf gecached Seiten funktioniert und dieser Webcode auch auf dem Ausdruck erscheinen soll.
Was würdet ihr mir raten?
Grüße
Alex