---
title: "Sicherheit von Typo3 Websites"
url: "https://www.typo3.net/d/11616-sicherheit-von-typo3-websites"
source: "typo3.net"
tags: ["Allgemein","Frage","Sicherheit"]
created: "2004-05-18"
last_reply: "2004-06-25"
replies: 57
solved: false
page: 1
pages: 1
lang: "de"
---
# Sicherheit von Typo3 Websites
Allgemein · 57 Antworten · gestartet 2004-05-18
## Eröffnungsbeitrag
**tomybyte** · 2004-05-18 · [Beitrag #1](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/1)
Ich kam heute mit ein paar CMS-Profis ins Gespräch, die allerdings kein typo3 einsetzen, da in "diesen Kreisen" die Meinung vorherrscht, dass typo3-Webseiten aufgrund von Sicherheitslecks (security-bugs) extrem leicht zu hacken seien und auch hinterlegte Daten problemlos ausgelesen werden könnten (auch über http).
Meine Recherchen im Internet zum Thema typo3-Sicherheit ist eher dürftig ausgefallen, weiss jemand etwas dazu? o.O
Wie sicher ist typo3? o.O
Wie lange dauert es bis security-patches verfügbar sind, wenn Sicherheitslöcher entdeckt worden sind? o.O
Gruss Tom
## Antworten
### [#2](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/2) · Meanwhile · 2004-05-18
deine fragen kann ich dir leider nicht beantworten. aber was mich interessiert, sind diese "sicherheitslecks" die von den profis angesprochen wurden. lass dir doch mal ein paar beispiele geben. wäre interessant.
cu
### [#3](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/3) · Zinner · 2004-05-18
Jo, das würde mich auch interessieren... Man kann ein System schnell schlecht reden... Viele Leute reden auch immer nur ihr eigenes bzw. erlerntes CMS gut, und machen alles andere schlecht.
### [#4](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/4) · Tiuri · 2004-05-24
Das gravierendste Problem bei fast allen PHP-Seiten ist das Ausfüllen von Formularen. Statt einfachem HTML könnte man auch Javascript einbauen und mit etwas Geschick und Glück die Session-ID eines Admins erhalten - und somit Zugriff aus das Backend haben, ohne Login und Passwort. Dies soll auch bei typo3 so sein, oder gewesen sein.
Ansonsten kenne ich noch das Problem mit unüberpften Parametern, das spielt hier aber schon keine Rolle, da man vom FE aus keine Änderungen vornehmen kann. (PHPnuke war da ein sehr schönes Beispiel ... man konnte ganz einfach Texte ändern wegen eines nicht geprüften Parameters)
ME ist T3 in Sachen Sicherheit ganz gut ausgebaut. Es geht ja auch mehr darum, die "Scriptkiddies" abzuhalten, die Veränderungen insbesondere wegen Spass ioder Werbung machen. Ein gezielter Angriff würde doch eher meistens dem Server gelten ;-)
### [#5](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/5) · Stoneage · 2004-05-24
Ich bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden). Es gibt vielleicht eine Extension die von Spammern ausgenutzt werden kann. Aber wir bereiten in Kürze einen professionellen Check vor.
T.
### [#6](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/6) · Zinner · 2004-05-24
Ehrlich gesagt habe ich auch nix anderes erwartet von T3 :)
### [#7](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/7) · Tiuri · 2004-05-25
hmmm stimmt. Aber schlecht reden, was man nicht kennt, ist ja leider üblich in der Branche #evil#
### [#8](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/8) · maxhb · 2004-05-25
> **Tetramatrix schrieb:**
>
> Ich bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden).
Schliesst das ALLE vorhandenen Extensions ein? Ein kleiner Programmierfehler kann ja schliesslich gravierende Auswirkungen haben...
CU
maxhb
### [#9](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/9) · TW · 2004-05-25
hi
ich denke zu sagen, dass es keine bedenken gibt, ist schon was selbstgefällig oder? jedes system ist angreifbar, es fragt sich nur wie kompetent derjenige ist, der das vorhat!!!!!!!!!!! #giggle#
cu
thorsten
### [#10](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/10) · Stoneage · 2004-05-26
Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden. Eine andere Methode wäre T3 nicht direkt anzugreifen, sondern den Server zu hacken aber über T3 Core oder Extension-Skripte. Im T3 Core wurden alle solcher bisher gefundenen Lücken schon seit längerem geschlossen (T3.5).
@TW: Deshalb haben wir Geld zusammengelegt, und einen Profi angeheurt, der T3 hacken wird. Neues wirst Du auf typo3.org unter Projekte und Teams erfahren.
Gruß,
T.
### [#11](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/11) · maxhb · 2004-05-26
> **Tetramatrix schrieb:**
>
> Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden.
Das stimmt nur halb, wenn überhaupt.
Sollte ich auf einem Typo3 System eine schöne SQL-Insertion hinbekommen, dann würde ich mir einen neuen Admin Account erstellen und das gesamte System wäre kompromitiert :'(
CU
maxhb
### [#12](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/12) · Stoneage · 2004-05-26
Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen. SQL-Injections hat sich durch die neue Abstractionsschicht in T3 3.6 wahrscheinlich eh erledigt. Aber Du kannst es gerne versuchen, aber bitte auf Deinen Servern. Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.
Gruß,
T.
### [#13](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/13) · maxhb · 2004-05-26
> **Tetramatrix schrieb:**
>
> Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
Bin ganz neugierig
maxhb
### [#14](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/14) · clan · 2004-05-26
> **Tetramatrix schrieb:**
>
> Natürlich haben wir nicht alle Extensions getestet.
**NATÜRLICH** NICHT? :o
ist das nicht ein bissl blau eugig?!?
wenn die neue extension z.b. direkt über die url aufruf bar ist.
und nen dummen fehler drinne hat was nicht unüblich ist *g* wie bei sämtlichen foren, z.b phpbb oder so..
neue_extension.php
```php
```
und ich dann einmal
neue_extension.php?file_extension='../../../etc/passwd'
mache..
ich habe gedacht das alle extensions vorher geprüft werden..?
### [#15](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/15) · TW · 2004-05-27
> **Tetramatrix schrieb:**
>
> zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine
so und was is mit phpbb????
ich meine wenn es denn als extension in typo3 eingebaut wird.........
so die netten sql injections???
cu
thorsten
### [#16](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/16) · clan · 2004-05-27
> **maxhb schrieb:**
>
> > **Tetramatrix schrieb:**
> >
> > Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
>
> Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
>
> Bin ganz neugierig
> maxhb
ich denke ma er meinte nur *g*
```plaintext
htmlentities($posting);
```
oder
```php
$bodytext=stripslashes(ereg_replace("<[^>]+>", "", $bodytext));
```
### [#17](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/17) · Stoneage · 2004-05-27
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
;)
T.
### [#18](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/18) · maxhb · 2004-05-27
> **Tetramatrix schrieb:**
>
> Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
Ich möchte ja nichts die Site eines anderen hacken, sondern nur gern erreichen, das niemand **meine** Site knackt...
Und eines ist mal klar, Script-kiddies gibt es mehr als Sanklörnchen am Strand und die haben viel viel viel Zeit und finden es auch noch cool, wenn dann irgendwo steht "this site hacked by xyz".
@ Tetramatrix: Sag mal, habe ich das richtig verstanden, Du bist Mitglied in der Typo3 Security Group, schreibst aber selbst, dass Du keine Ahnung von der Thematik hast? Ist nicht als Flame gemeint, sondern wirklich nur eine Frage, denn das hat mich ein wenig verwirrt...
CU
maxhb
### [#19](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/19) · rakso · 2004-05-27
Falls Tetramatrix das ernst meint stehts allerdings echt schlecht um die Sicherheit...
Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf noch viel mehr gibt.
### [#20](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/20) · doku · 2004-05-27
> ...von denen zu Typo3 gefundenen Einträge auf noch viel mehr gibt.
das ist aber doch über 14 monate her. da gab´s ja gerademal 3.5.0, wenn ich mich nich irre?
nicht, daß es jetzt keine mehr geben könnte (vielleicht gips ja noch viel mehr... ;) ), aber das is nunmal einfach nicht der stand der dinge, oder hab ich mich da völlig verguckt??
### [#21](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/21) · TW · 2004-05-27
> **rakso schrieb:**
>
> Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf noch viel mehr gibt.
warum arbeitest du denn dann damit?
mal ehrlich, welches system kann von sich behaupten **sicher** zu sein!
eben, kein einziges system......
und wie **maxhb** schon sagte..............
script kiddies sind überall!!!!!
die nutzen das aus.....
aber egal......
@tetramatrix
auch ich bin verwundert, da ich gedacht hätte, dass wenn man in so einem team ist, man auch über die thematik bescheid wissen müsste?????
cu
thorsten
### [#22](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/22) · Stoneage · 2004-05-27
hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#
wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.
bis dahin ist alles andere spekulation.
t.
### [#23](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/23) · maxhb · 2004-05-27
> **Tetramatrix schrieb:**
>
> hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#
Biste Schlipsträger und ich bin da draufgetreten?!
Das war - wie schon geschrieben - nicht als Flame gemeint, sondern bezog sich auf **Deine** Äusserung, Du hattest geschrieben:
> **Tetramatrix schrieb:**
>
> Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.
> **Tetramatrix schrieb:**
>
> bis dahin ist alles andere spekulation.
So, alle wieder friedlich?
CU
maxhb
### [#24](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/24) · tomybyte · 2004-05-27
Hab da wohl eine ganz interessante Diskussion über die Sicherheit von Typo3 angestossen.
> **Über den Beitrag von Tetramatrix bin ich allerdings doch sehr verwundert::**
> Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
Seit wann werden Einbrecher denn davon abgehalten einen Einbruch zu begehen, nur weil es super strafbar ist.
Außerdem was heißt das konkret? MW sind wegen Hackens bisher nur sehr wenige verknackt worden!
So ist es nach Meiner Vorstellung doch sträflicher Leichtsinn, jene Sicherheitslöcher ausser Acht zu lassen, deren "Benutzung" super strafbar ist.
Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell. Alle Anbieter am Markt müssen ihre Systeme so sicher wie möglich machen, um überhaupt konkurrenzfähig zu sein. Und gerade die mangelde Sicherheit wird ja den Open-Source Projekten immer wieder angelastet.
By the way: Ich habe unter dem Forum "Änfängerfragen" noch ein Topic zum Thema Typo3 und Grafik und es scheint niemanden zu geben, der mir hier weiterhelfen kann?!
Das kann ich eigentlich nicht glauben!! Vielleicht liegt es einfach daran, dass dort nur Anfänger reinschauen, es wäre toll, wenn einer von den Profis mal einen Blick in dieses Forum werfen könnte!
Thanks a lot!
Gruß Tom
### [#25](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/25) · doku · 2004-05-27
> ...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.
leute, leute...
is der **smilie** (das is übrigens sowas hier -> ;) ) unter tetramatrix´ posting so schwer zu erkennen???
also echt...
### [#26](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/26) · maxhb · 2004-05-27
> **doku schrieb:**
>
> > ...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.
>
> leute, leute...
>
> is der **smilie** (das is übrigens sowas hier -> ;) ) unter tetramatrix´ posting so schwer zu erkennen???
>
> also echt...
Na, dann also echt, die Biester sehen schon verschieden aus: ;) vs. : #paralyzed#
nicht alles, was gelb und rund ist ist auch ein fröhlicher Smiley ... ;)
CU
maxhb
### [#27](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/27) · tomybyte · 2004-05-27
> **doku schrieb:**
>
> > ...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.
>
> leute, leute...
>
> is der **smilie** (das is übrigens sowas hier -> ;) ) unter tetramatrix´ posting so schwer zu erkennen???
>
> also echt...
Klartext: Ich bin auf der Suche nach einem brauchbaren CMS und habe nun auch eine Testinstallation auf einem Entwicklungsserver und Typo3 schien mir bislang brauchbar. Nur diese Aufgeregtheit hier über diese Diskussion verstehe ich nicht - das kann doch Typo3 nur nützen, sonst liege ich doch wohl falsch mit Typo3, wenn das nicht möglich sein sollte. Da scheint mir Microsoft aufgeschlossener!
Cu
Tom
### [#28](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/28) · TW · 2004-05-27
> **Tetramatrix schrieb:**
>
> hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was?
heh an deinem posten will ja keiner rütteln #giggle#
> wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.
jetzt mal meine frage?
wie wollt ihr typo3 absolut sicher machen, wenn php selber nicht sicher ist?
cu
thorsten
### [#29](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/29) · TW · 2004-05-27
> **tomybyte schrieb:**
>
> Da scheint mir Microsoft aufgeschlossener!
brrrrrrrrrrrrrrrrrrrrrrrrrrrrrr............
das böse wort das mit **m** anfängt und mit **icrosoft** aufhört...
#evil#
cu
thorsten
### [#30](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/30) · dosul · 2004-05-27
> **Tetramatrix schrieb:**
>
> hmm, also ihr zweifelt an meiner autorität als security team leader xss?
hmmmmm....Nein wie könnten wir denn daran zweifeln !
Da wir alle wissen das PHP absolut sicher ist gehen wir davon aus das du weißt was du da tust !
Das hat ungefähr soviel Aussagekraft wie die Erkenntnis das M$ IE keine Bugs sondern **hidden Features** beinhaltet...was den Begriff "Javascript Injection" umso interessanter erscheinen lässt.
SCNR
Dosul
### [#31](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/31) · Stoneage · 2004-05-27
Bin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).
Wie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.
Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
t.
### [#32](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/32) · dosul · 2004-05-27
> **Tetramatrix schrieb:**
>
> Wie oft soll ich den noch sagen, daß T3 sicher ist?
Der letzte der behauptete das irgendetwas sicher sei und er mit wirrem Blick auf der Bühne umherhüpfend schrie "I Love that Company" war ein gewisser Steve Bullmer........
Wolltest du dich dort einreihen ???
dosul
### [#33](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/33) · m.kratzer · 2004-05-27
also ich bin auch der meinung das t3 soweit sicher ist. nur man kann immer wieder neue sicherheitslücken entdecken und stopfen. das ist doch wie bei gesetzen, es gibt fast immer einen weg sie zu umgehen :D
### [#34](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/34) · maxhb · 2004-05-27
> **Tetramatrix schrieb:**
>
> Bin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).
Dann wird ja alles gut ;)
> **Tetramatrix schrieb:**
>
> Wie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.
Wollte ja auch niemand sagen, dass die SecGruppe nur Däumchen dreht. Ich denke wir sind alle froh, dass sich dieser thematik angenommen wird und Reaktionszeiten von einer Woche sind in der tat ziemlich gut!
Das T3 allerdings von Dir prinzipiell als sicher eingestuft wird kann ich jedoch immer noch nicht nachvollziehen. Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
> **Tetramatrix schrieb:**
>
> Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
CU
maxhb
### [#35](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/35) · TW · 2004-05-27
hi
mich würde trotzdem das javascript injection problem interessieren ;)
nur so nebenbei #giggle#
cu
thorsten
### [#36](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/36) · dosul · 2004-05-27
> **Tetramatrix schrieb:**
>
> Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
> **maxhb schrieb:**
>
> Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
Naja.....hmmmmmm......
Ich weiss nicht.....ne Brute force mit Dictionary???
Wie man sowas abfängt sollte eigentlich bekannt sein....
Ist nen uralter Hut.....
Klar kann man das abfangen in dem man die Login Versuche Zeitlich begrenzt oder ??
Naja...war nur so'n Gedanke....
cu
Dosul
### [#37](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/37) · dosul · 2004-05-27
> **TW schrieb:**
>
> hi
> mich würde trotzdem das javascript injection problem interessieren ;)
>
> nur so nebenbei #giggle#
>
> cu
> thorsten
Na dann......
```html
```
*gg*
Dosul
### [#38](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/38) · TW · 2004-05-27
#giggle# :o #giggle# 8-)
jetzt wissen wir also alle was javascript injections sind.......... ;)
cu
thorsten
### [#39](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/39) · Stoneage · 2004-05-27
> Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
> Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird. Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
T.
### [#40](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/40) · maxhb · 2004-05-27
> **Tetramatrix schrieb:**
>
> Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird.
Das war ziemlich genau, was ich meinte. Allerdings würde ich den Aufwand für eine SQL-Injection nicht zu hoch hängen, das kann ggf. sehr einfach gehen. Zum Glück ist jedoch bei PHP mittlerweile die Option GPC_MAGIC_QUOTES standardmässig aktiviert, so dass ungeprüfte GET- und POST-Parameter nicht mehr so schnell zum Problem werden...
> **Tetramatrix schrieb:**
>
> Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
Don't panic
... steht schon auf einem der berühmtesten Bücher überhaupt #giggle#
CU
maxhb
### [#41](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/41) · TW · 2004-05-28
> **Tetramatrix schrieb:**
>
> Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie.
na aber jetzt mal ehrlich.......
alle die was versierter sind und wissen wo sie ansetzen müssen, kriegens hin........und dafür braucht man nicht mal kriminelle energie, sondern einfach nur blanke neugierde...
cu
thorsten
### [#42](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/42) · Stoneage · 2004-05-28
>
> Hmm, über magic quotes habe ich aber nix gutes gelesen. Funktioniert das überhaupt?
>
> Grüße,
> T.
### [#43](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/43) · dosul · 2004-05-28
...Jungs !
Jetzt mal ehrlich !!
Lasst die Kirche mal im Dorf.....
Über Sicherheit innerhalb einer Applikation zu reden deren Sourcen offen liegen ist -- nehmt es mir nicht übel -- der grösste Schwachsinn überhaupt !!
An dieser Stelle zu behaupten T3 sei sicher ist so ziemlich der grö?te Blödsinn den ich in letzter Zeit gelesen habe...
Was ist noch alles sicher ??
Postnuke?
Also....man kann es nem Script Kiddie zwar schwer machen....aaaaaaber nem Hacker ringt das ein mehr oder weniger müdes lächeln ab.
Security Team hin oder her !!
cu
Dosul
### [#44](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/44) · TW · 2004-05-28
#giggle# 8-) #giggle#
jungens hört auf den mann, der weiss wovon er redet ;)
ausserdem is das ja wohl mehr als die wahrheit!
cu
thorsten
### [#45](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/45) · Stoneage · 2004-05-28
@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. ;).
### [#46](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/46) · dosul · 2004-05-28
> **Tetramatrix schrieb:**
>
> @dosul: Jaaaa, sicher, und Du bist der Kaiser von China. ;).
Nein.....aber sag mir doch mal wo DU nen T3 laufen
hast ?
edit:
LOL....
Wer ist hier der Kaiser von China ?
Chi Hoang ??
Sach mal......
Is datt deine ?
...und kein T3 ????
Schade eigentlich...*ggg*
SCNR
Dosul
### [#47](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/47) · TW · 2004-05-28
oh ja bitte!!!!
#giggle#
### [#48](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/48) · Stoneage · 2004-05-28
@dosul: locahost *ROFL*
### [#49](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/49) · maxhb · 2004-05-28
Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde ;)
CU
maxhb
### [#50](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/50) · dosul · 2004-05-28
> **maxhb schrieb:**
>
> Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde ;)
>
> CU
> maxhb
Jepp....agreed #giggle#
Aber der meinung war ich schon von Anfang an ;)
cu
Dosul
### [#51](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/51) · TW · 2004-05-28
> **maxhb schrieb:**
>
> Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de
ja und hätten wir hier moderatoren #giggle# wäre der thread schon lange dicht :o
[/d/8078-forum-entruempeln](https://www.typo3.net/d/8078-forum-entruempeln)
cu
thorsten
### [#52](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/52) · tomybyte · 2004-05-28
> **maxhb schrieb:**
>
> Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als ...
Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! :'(
Ciao - Tom
### [#53](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/53) · TW · 2004-05-28
> **tomybyte schrieb:**
>
> > **maxhb schrieb:**
> >
> > Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als ...
>
> Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! :'(
>
> Ciao - Tom
oh mann...
du hast wohl hier nicht gut gelesen, oder????
es geht sich nicht nur um typo3, sondern um jedes system!!!!!!!!!!!!!!
wurde wohl schon etwas weiter oben gesagt....
lass dir gesagt sein, jedes system ist angreifbar!
typo3 ist ernst zu nehmen....................
nur halt ist im internet eben nichts sicher!
cu
thorsten
### [#54](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/54) · maxhb · 2004-05-28
> **tomybyte schrieb:**
>
> Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! :'(
Kopf hoch Tom!
Die Sicherheit von Typo3 ist vermutlich nicht 100%ig, jedoch höchst wahrscheinlich deutlich besser als die der meisten anderen auf PHP basierten Applikationen. Und das schöne ist, dass die Sicherheitslücken mit jedem Tag weniger werden - immerhin arbeitet auf der einen Seite ein ganzes team an der Abschottung von PHP und auf der anderen Seite gibt's da Kollegen wie Tetramatrix, die zusätzlich noch die Problemstellen im PHP-Code lokalisieren und ausmerzen.
Davon abgesehen sollte man nicht glauben, dass es im Internet nur so vor bösen Buben wimmelt, die darauf aus sind, die Website eines Hobby-Philatelisten zu knacken - obwohl sowas passieren könnte(! siehe Kommentar zu Script-Kiddies weiter oben).
Realistischreweise wird das jedoch nur äusserst selten passieren und dann ist die furchtbare Konsequenz ... Ja was ist denn eigentlich die Konsequenz? Man muss sein sorgfältig erstelltes Systembackup wieder einspielen und weiter gehts....
CU
maxhb
### [#55](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/55) · qp · 2004-06-08
Man könnte doch die Sicherheitsrelevanten Daten von der DB abkapseln und z.B. in eine XML DB reinschreiben, die ihrerseits verschlüsselt ist.
Z.B.: typo -> kleine c App, dass die XML Dateien entschlüsselt und die benötigten Daten zurückschickt bzw. verschlüsselt und in der Datei speichert.
### [#56](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/56) · maxhb · 2004-06-08
> **qp schrieb:**
>
> Man könnte doch die Sicherheitsrelevanten Daten von der DB abkapseln und z.B. in eine XML DB reinschreiben, die ihrerseits verschlüsselt ist.
> Z.B.: typo -> kleine c App, dass die XML Dateien entschlüsselt und die benötigten Daten zurückschickt bzw. verschlüsselt und in der Datei speichert.
Dann musst Du aber wieder die C-Datei schützen, denn vermutlich ist darin ja der Schlüsel zum entschlüsseln der XML-DB enthalten...
Man kann sich drehen und wenden wie man will, Sicherheitslücken **können** immer bestehen. Allerdings ist die Sicherheit eines Apache mit PHP und MySQL nicht zu unterschätzen. Die Systeme sind schon sehr erprobt und bei einer Vielzahl von gehackten Sites lag es dann eh wieder am Betreiber, der mal wieder nicht die neuesten Patches eingespielt hat oder schlicht miserable Passworte verwendet.
Die Idee mit der Kapselung der Datenbank finde ich allerdings nicht schlecht, vielleicht wäre es ein guter Ansatz, die Schnittstelle zur Datenbank so schmal wie möglich zu gestalten. Folgendes könnte ich mir vorstellen:
1. Es existiert nur ein lokaler Benutzer für die MySQL-DB, dieser verwendet natürlich ein wirklich gutes Passwort...
2. zugriff auf die DB erfolgt immer über eine zentrale Typo3-Funktion
3. In dieser Funktion wird folgendes überprüft:
a) Ist eine bestimmte Konstante gesetzt und enthält einen geheimen, für jede Site unterschiedlichen Wert (Installationsparameter)
b) Lautet der Referrer bzw. die IP-Adresse der zugreifenden Seite localhost
CU
maxhb
### [#57](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/57) · qp · 2004-06-10
Nun, der Aufwand steigt enorm, wenn man so einen "db proxy" nimmt. Aber ist natürlich nicht umbedingt notwendig.
Die Idee ist einfach (künftigen) Schwachstellen in PHP vorzubeugen und Injections auf die abekoppelte user DB zu vermeiden.
### [#58](https://www.typo3.net/d/11616-sicherheit-von-typo3-websites/58) · Unbekannter Benutzer · 2004-06-25
> **maxhb schrieb:**
>
> Die Systeme sind schon sehr erprobt und bei einer Vielzahl von gehackten Sites lag es dann eh wieder am Betreiber, der mal wieder nicht die neuesten Patches eingespielt hat oder schlicht miserable Passworte verwendet.
That´s what it is. Bevor sich ein Hacker die Mühe macht T3 zu hacken wird er erstmal nen aktuellen Nessus-Scan laufen lassen. Womit sich bei mind. 40-50% aller Server das Thema T3 hacken erledigt hat...
---
Quelle: „Sicherheit von Typo3 Websites“, typo3.net, https://www.typo3.net/d/11616-sicherheit-von-typo3-websites
Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.