Zum Inhalt springen

Sicherheit von Typo3 Websites

Erstellt am 18. Mai 2004 · 57 Antworten · letzte Antwort am 25. Juni 2004 · Seite 1 von 3

Tags: Sicherheit, Frage

maxhb ·
Tetramatrix schrieb

Ich bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden).

Schliesst das ALLE vorhandenen Extensions ein? Ein kleiner Programmierfehler kann ja schliesslich gravierende Auswirkungen haben...

CU
maxhb

TW ·

hi
ich denke zu sagen, dass es keine bedenken gibt, ist schon was selbstgefällig oder? jedes system ist angreifbar, es fragt sich nur wie kompetent derjenige ist, der das vorhat!!!!!!!!!!! #giggle#

cu
thorsten

Stoneage ·

Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden. Eine andere Methode wäre T3 nicht direkt anzugreifen, sondern den Server zu hacken aber über T3 Core oder Extension-Skripte. Im T3 Core wurden alle solcher bisher gefundenen Lücken schon seit längerem geschlossen (T3.5).

@TW: Deshalb haben wir Geld zusammengelegt, und einen Profi angeheurt, der T3 hacken wird. Neues wirst Du auf typo3.org unter Projekte und Teams erfahren.

Gruß,

T.

maxhb ·
Tetramatrix schrieb

Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden.

Das stimmt nur halb, wenn überhaupt.
Sollte ich auf einem Typo3 System eine schöne SQL-Insertion hinbekommen, dann würde ich mir einen neuen Admin Account erstellen und das gesamte System wäre kompromitiert 😢

CU
maxhb

Stoneage ·

Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen. SQL-Injections hat sich durch die neue Abstractionsschicht in T3 3.6 wahrscheinlich eh erledigt. Aber Du kannst es gerne versuchen, aber bitte auf Deinen Servern. Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.

Gruß,

T.

maxhb ·
Tetramatrix schrieb

Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.

Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?

Bin ganz neugierig
maxhb

clan ·
Tetramatrix schrieb

Natürlich haben wir nicht alle Extensions getestet.

NATÜRLICH NICHT? :o
ist das nicht ein bissl blau eugig?!?

wenn die neue extension z.b. direkt über die url aufruf bar ist.
und nen dummen fehler drinne hat was nicht unüblich ist *g* wie bei sämtlichen foren, z.b phpbb oder so..

neue_extension.php

<?php
if($file_extension){
include($file_extension);
}else{
inlcude("test.php");
}
?>

und ich dann einmal
neue_extension.php?file_extension='../../../etc/passwd'
mache..

ich habe gedacht das alle extensions vorher geprüft werden..?

TW ·
Tetramatrix schrieb

zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine

so und was is mit phpbb????
ich meine wenn es denn als extension in typo3 eingebaut wird.........

so die netten sql injections???

cu
thorsten

clan ·
maxhb schrieb
Tetramatrix schrieb

Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.

Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?

Bin ganz neugierig
maxhb

ich denke ma er meinte nur *g*

htmlentities($posting);

oder

 $bodytext=stripslashes(ereg_replace("<[^>]+>", "", $bodytext));
maxhb ·
Tetramatrix schrieb

Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?

Ich möchte ja nichts die Site eines anderen hacken, sondern nur gern erreichen, das niemand meine Site knackt...
Und eines ist mal klar, Script-kiddies gibt es mehr als Sanklörnchen am Strand und die haben viel viel viel Zeit und finden es auch noch cool, wenn dann irgendwo steht "this site hacked by xyz".

@ Tetramatrix: Sag mal, habe ich das richtig verstanden, Du bist Mitglied in der Typo3 Security Group, schreibst aber selbst, dass Du keine Ahnung von der Thematik hast? Ist nicht als Flame gemeint, sondern wirklich nur eine Frage, denn das hat mich ein wenig verwirrt...

CU
maxhb

rakso ·

Falls Tetramatrix das ernst meint stehts allerdings echt schlecht um die Sicherheit...

Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

doku ·

...von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

das ist aber doch über 14 monate her. da gab´s ja gerademal 3.5.0, wenn ich mich nich irre?
nicht, daß es jetzt keine mehr geben könnte (vielleicht gips ja noch viel mehr... 😉 ), aber das is nunmal einfach nicht der stand der dinge, oder hab ich mich da völlig verguckt??

TW ·
rakso schrieb

Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.

warum arbeitest du denn dann damit?
mal ehrlich, welches system kann von sich behaupten sicher zu sein!

eben, kein einziges system......
und wie maxhb schon sagte..............

script kiddies sind überall!!!!!
die nutzen das aus.....

aber egal......

@tetramatrix
auch ich bin verwundert, da ich gedacht hätte, dass wenn man in so einem team ist, man auch über die thematik bescheid wissen müsste?????

cu
thorsten

Stoneage ·

hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#

wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.

bis dahin ist alles andere spekulation.

t.

maxhb ·
Tetramatrix schrieb

hmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was? guckt euch doch die mitarbeiter meiner gruppe an, das sind alles könner, oder nicht? #paralyzed#

Biste Schlipsträger und ich bin da draufgetreten?!
Das war - wie schon geschrieben - nicht als Flame gemeint, sondern bezog sich auf Deine Äusserung, Du hattest geschrieben:

Tetramatrix schrieb

Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.

Tetramatrix schrieb

bis dahin ist alles andere spekulation.

So, alle wieder friedlich?

CU
maxhb

tomybyte ·

Hab da wohl eine ganz interessante Diskussion über die Sicherheit von Typo3 angestossen.

Über den Beitrag von Tetramatrix bin ich allerdings doch sehr verwundert::
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?

Seit wann werden Einbrecher denn davon abgehalten einen Einbruch zu begehen, nur weil es super strafbar ist.
Außerdem was heißt das konkret? MW sind wegen Hackens bisher nur sehr wenige verknackt worden!
So ist es nach Meiner Vorstellung doch sträflicher Leichtsinn, jene Sicherheitslöcher ausser Acht zu lassen, deren "Benutzung" super strafbar ist.
Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell. Alle Anbieter am Markt müssen ihre Systeme so sicher wie möglich machen, um überhaupt konkurrenzfähig zu sein. Und gerade die mangelde Sicherheit wird ja den Open-Source Projekten immer wieder angelastet.

By the way: Ich habe unter dem Forum "Änfängerfragen" noch ein Topic zum Thema Typo3 und Grafik und es scheint niemanden zu geben, der mir hier weiterhelfen kann?!
Das kann ich eigentlich nicht glauben!! Vielleicht liegt es einfach daran, dass dort nur Anfänger reinschauen, es wäre toll, wenn einer von den Profis mal einen Blick in dieses Forum werfen könnte!
Thanks a lot!

Gruß Tom

doku ·

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

maxhb ·
doku schrieb

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

Na, dann also echt, die Biester sehen schon verschieden aus: 😉 vs. : #paralyzed#

nicht alles, was gelb und rund ist ist auch ein fröhlicher Smiley ... 😉
CU
maxhb

tomybyte ·
doku schrieb

...Ehrlich gesagt empfinde ich diese Argumentation nicht sehr professionell.

leute, leute...

is der smilie (das is übrigens sowas hier -> 😉 ) unter tetramatrix´ posting so schwer zu erkennen???

also echt...

Klartext: Ich bin auf der Suche nach einem brauchbaren CMS und habe nun auch eine Testinstallation auf einem Entwicklungsserver und Typo3 schien mir bislang brauchbar. Nur diese Aufgeregtheit hier über diese Diskussion verstehe ich nicht - das kann doch Typo3 nur nützen, sonst liege ich doch wohl falsch mit Typo3, wenn das nicht möglich sein sollte. Da scheint mir Microsoft aufgeschlossener!

Cu

Tom