Ich bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden). Es gibt vielleicht eine Extension die von Spammern ausgenutzt werden kann. Aber wir bereiten in Kürze einen professionellen Check vor.
T.
Ehrlich gesagt habe ich auch nix anderes erwartet von T3 🙂
hmmm stimmt. Aber schlecht reden, was man nicht kennt, ist ja leider üblich in der Branche #evil#
Tetramatrix schriebIch bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden).
Schliesst das ALLE vorhandenen Extensions ein? Ein kleiner Programmierfehler kann ja schliesslich gravierende Auswirkungen haben...
CU
maxhb
hi
ich denke zu sagen, dass es keine bedenken gibt, ist schon was selbstgefällig oder? jedes system ist angreifbar, es fragt sich nur wie kompetent derjenige ist, der das vorhat!!!!!!!!!!! #giggle#
cu
thorsten
Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden. Eine andere Methode wäre T3 nicht direkt anzugreifen, sondern den Server zu hacken aber über T3 Core oder Extension-Skripte. Im T3 Core wurden alle solcher bisher gefundenen Lücken schon seit längerem geschlossen (T3.5).
@TW: Deshalb haben wir Geld zusammengelegt, und einen Profi angeheurt, der T3 hacken wird. Neues wirst Du auf typo3.org unter Projekte und Teams erfahren.
Gruß,
T.
Tetramatrix schriebNatürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden.
Das stimmt nur halb, wenn überhaupt.
Sollte ich auf einem Typo3 System eine schöne SQL-Insertion hinbekommen, dann würde ich mir einen neuen Admin Account erstellen und das gesamte System wäre kompromitiert 😢
CU
maxhb
Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen. SQL-Injections hat sich durch die neue Abstractionsschicht in T3 3.6 wahrscheinlich eh erledigt. Aber Du kannst es gerne versuchen, aber bitte auf Deinen Servern. Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.
Gruß,
T.
Tetramatrix schriebIch habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
Bin ganz neugierig
maxhb
Tetramatrix schriebNatürlich haben wir nicht alle Extensions getestet.
NATÜRLICH NICHT? :o
ist das nicht ein bissl blau eugig?!?
wenn die neue extension z.b. direkt über die url aufruf bar ist.
und nen dummen fehler drinne hat was nicht unüblich ist *g* wie bei sämtlichen foren, z.b phpbb oder so..
neue_extension.php
<?php
if($file_extension){
include($file_extension);
}else{
inlcude("test.php");
}
?>
und ich dann einmal
neue_extension.php?file_extension='../../../etc/passwd'
mache..
ich habe gedacht das alle extensions vorher geprüft werden..?
Tetramatrix schriebzur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine
so und was is mit phpbb????
ich meine wenn es denn als extension in typo3 eingebaut wird.........
so die netten sql injections???
cu
thorsten
maxhb schriebTetramatrix schriebIch habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
Bin ganz neugierig
maxhb
ich denke ma er meinte nur *g*
htmlentities($posting);
oder
$bodytext=stripslashes(ereg_replace("<[^>]+>", "", $bodytext));
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
😉
T.
Tetramatrix schriebKinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
Ich möchte ja nichts die Site eines anderen hacken, sondern nur gern erreichen, das niemand meine Site knackt...
Und eines ist mal klar, Script-kiddies gibt es mehr als Sanklörnchen am Strand und die haben viel viel viel Zeit und finden es auch noch cool, wenn dann irgendwo steht "this site hacked by xyz".
@ Tetramatrix: Sag mal, habe ich das richtig verstanden, Du bist Mitglied in der Typo3 Security Group, schreibst aber selbst, dass Du keine Ahnung von der Thematik hast? Ist nicht als Flame gemeint, sondern wirklich nur eine Frage, denn das hat mich ein wenig verwirrt...
CU
maxhb
Falls Tetramatrix das ernst meint stehts allerdings echt schlecht um die Sicherheit...
Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.
...von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.
das ist aber doch über 14 monate her. da gab´s ja gerademal 3.5.0, wenn ich mich nich irre?
nicht, daß es jetzt keine mehr geben könnte (vielleicht gips ja noch viel mehr... 😉 ), aber das is nunmal einfach nicht der stand der dinge, oder hab ich mich da völlig verguckt??
rakso schriebIch stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.
warum arbeitest du denn dann damit?
mal ehrlich, welches system kann von sich behaupten sicher zu sein!
eben, kein einziges system......
und wie maxhb schon sagte..............
script kiddies sind überall!!!!!
die nutzen das aus.....
aber egal......
@tetramatrix
auch ich bin verwundert, da ich gedacht hätte, dass wenn man in so einem team ist, man auch über die thematik bescheid wissen müsste?????
cu
thorsten
hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#
wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.
bis dahin ist alles andere spekulation.
t.
Tetramatrix schriebhmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#
Biste Schlipsträger und ich bin da draufgetreten?!
Das war - wie schon geschrieben - nicht als Flame gemeint, sondern bezog sich auf Deine Äusserung, Du hattest geschrieben:
Tetramatrix schriebAber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.
Tetramatrix schriebbis dahin ist alles andere spekulation.
So, alle wieder friedlich?
CU
maxhb
Hab da wohl eine ganz interessante Diskussion über die Sicherheit von Typo3 angestossen.
Über den Beitrag von Tetramatrix bin ich allerdings doch sehr verwundert::
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
Seit wann werden Einbrecher denn davon abgehalten einen Einbruch zu begehen, nur weil es super strafbar ist.
Außerdem was heißt das konkret? MW sind wegen Hackens bisher nur sehr wenige verknackt worden!
So ist es nach Meiner Vorstellung doch sträflicher Leichtsinn, jene Sicherheitslöcher ausser Acht zu lassen, deren "Benutzung" super strafbar ist.
Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell. Alle Anbieter am Markt müssen ihre Systeme so sicher wie möglich machen, um überhaupt konkurrenzfähig zu sein. Und gerade die mangelde Sicherheit wird ja den Open-Source Projekten immer wieder angelastet.
By the way: Ich habe unter dem Forum "Änfängerfragen" noch ein Topic zum Thema Typo3 und Grafik und es scheint niemanden zu geben, der mir hier weiterhelfen kann?!
Das kann ich eigentlich nicht glauben!! Vielleicht liegt es einfach daran, dass dort nur Anfänger reinschauen, es wäre toll, wenn einer von den Profis mal einen Blick in dieses Forum werfen könnte!
Thanks a lot!
Gruß Tom