Ich kam heute mit ein paar CMS-Profis ins Gespräch, die allerdings kein typo3 einsetzen, da in "diesen Kreisen" die Meinung vorherrscht, dass typo3-Webseiten aufgrund von Sicherheitslecks (security-bugs) extrem leicht zu hacken seien und auch hinterlegte Daten problemlos ausgelesen werden könnten (auch über http).
Meine Recherchen im Internet zum Thema typo3-Sicherheit ist eher dürftig ausgefallen, weiss jemand etwas dazu? o.O
Wie sicher ist typo3? o.O
Wie lange dauert es bis security-patches verfügbar sind, wenn Sicherheitslöcher entdeckt worden sind? o.O
Gruss Tom
deine fragen kann ich dir leider nicht beantworten. aber was mich interessiert, sind diese "sicherheitslecks" die von den profis angesprochen wurden. lass dir doch mal ein paar beispiele geben. wäre interessant.
cu
Jo, das würde mich auch interessieren... Man kann ein System schnell schlecht reden... Viele Leute reden auch immer nur ihr eigenes bzw. erlerntes CMS gut, und machen alles andere schlecht.
Das gravierendste Problem bei fast allen PHP-Seiten ist das Ausfüllen von Formularen. Statt einfachem HTML könnte man auch Javascript einbauen und mit etwas Geschick und Glück die Session-ID eines Admins erhalten - und somit Zugriff aus das Backend haben, ohne Login und Passwort. Dies soll auch bei typo3 so sein, oder gewesen sein.
Ansonsten kenne ich noch das Problem mit unüberpften Parametern, das spielt hier aber schon keine Rolle, da man vom FE aus keine Änderungen vornehmen kann. (PHPnuke war da ein sehr schönes Beispiel ... man konnte ganz einfach Texte ändern wegen eines nicht geprüften Parameters)
ME ist T3 in Sachen Sicherheit ganz gut ausgebaut. Es geht ja auch mehr darum, die "Scriptkiddies" abzuhalten, die Veränderungen insbesondere wegen Spass ioder Werbung machen. Ein gezielter Angriff würde doch eher meistens dem Server gelten ;-)
Ich bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden). Es gibt vielleicht eine Extension die von Spammern ausgenutzt werden kann. Aber wir bereiten in Kürze einen professionellen Check vor.
T.
Ehrlich gesagt habe ich auch nix anderes erwartet von T3 🙂
hmmm stimmt. Aber schlecht reden, was man nicht kennt, ist ja leider üblich in der Branche #evil#
Tetramatrix schriebIch bin vom T3 Sicherheitsteam, und zur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine (zumindest mir bekannte, und ich habe 2 XSS Löcher gefunden).
Schliesst das ALLE vorhandenen Extensions ein? Ein kleiner Programmierfehler kann ja schliesslich gravierende Auswirkungen haben...
CU
maxhb
hi
ich denke zu sagen, dass es keine bedenken gibt, ist schon was selbstgefällig oder? jedes system ist angreifbar, es fragt sich nur wie kompetent derjenige ist, der das vorhat!!!!!!!!!!! #giggle#
cu
thorsten
Natürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden. Eine andere Methode wäre T3 nicht direkt anzugreifen, sondern den Server zu hacken aber über T3 Core oder Extension-Skripte. Im T3 Core wurden alle solcher bisher gefundenen Lücken schon seit längerem geschlossen (T3.5).
@TW: Deshalb haben wir Geld zusammengelegt, und einen Profi angeheurt, der T3 hacken wird. Neues wirst Du auf typo3.org unter Projekte und Teams erfahren.
Gruß,
T.
Tetramatrix schriebNatürlich haben wir nicht alle Extensions getestet. Um direkte Angriffe auf T3 abzuwehren, muß man das unter Umständen auch gar nicht, weil der Code den man in die DB injizieren könnte, ja irgendwie ausgeführt werden muß. Wenn nun das BE sauber gegen solche Injections gecheckt wurde, kann man schon ne Menge ausschließen, sprich die (Admin)-Sessionid kann nicht einfach so geklaut werden.
Das stimmt nur halb, wenn überhaupt.
Sollte ich auf einem Typo3 System eine schöne SQL-Insertion hinbekommen, dann würde ich mir einen neuen Admin Account erstellen und das gesamte System wäre kompromitiert 😢
CU
maxhb
Ich habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen. SQL-Injections hat sich durch die neue Abstractionsschicht in T3 3.6 wahrscheinlich eh erledigt. Aber Du kannst es gerne versuchen, aber bitte auf Deinen Servern. Aber wie gesagt bin kein Security-Profi, trotzdem viel Spaß beim hacken.
Gruß,
T.
Tetramatrix schriebIch habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
Bin ganz neugierig
maxhb
Tetramatrix schriebNatürlich haben wir nicht alle Extensions getestet.
NATÜRLICH NICHT? :o
ist das nicht ein bissl blau eugig?!?
wenn die neue extension z.b. direkt über die url aufruf bar ist.
und nen dummen fehler drinne hat was nicht unüblich ist *g* wie bei sämtlichen foren, z.b phpbb oder so..
neue_extension.php
<?php
if($file_extension){
include($file_extension);
}else{
inlcude("test.php");
}
?>
und ich dann einmal
neue_extension.php?file_extension='../../../etc/passwd'
mache..
ich habe gedacht das alle extensions vorher geprüft werden..?
Tetramatrix schriebzur Zeit besteht eigentlich kein Grund zur Gefahr. XSS und SQL Injections Löcher gibt es keine
so und was is mit phpbb????
ich meine wenn es denn als extension in typo3 eingebaut wird.........
so die netten sql injections???
cu
thorsten
maxhb schriebTetramatrix schriebIch habe auch eher Javascript Injections gemeint. Das kann man ganz gut abfangen.
Aha, was ist denn das? JS läuft doch auf Client-Seite, was kann man da "injecten"?
Bin ganz neugierig
maxhb
ich denke ma er meinte nur *g*
htmlentities($posting);
oder
$bodytext=stripslashes(ereg_replace("<[^>]+>", "", $bodytext));
Kinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
😉
T.
Tetramatrix schriebKinders, das ist sowieso alles super strafbar, also wofür damit Zeit verschwenden?
Ich möchte ja nichts die Site eines anderen hacken, sondern nur gern erreichen, das niemand meine Site knackt...
Und eines ist mal klar, Script-kiddies gibt es mehr als Sanklörnchen am Strand und die haben viel viel viel Zeit und finden es auch noch cool, wenn dann irgendwo steht "this site hacked by xyz".
@ Tetramatrix: Sag mal, habe ich das richtig verstanden, Du bist Mitglied in der Typo3 Security Group, schreibst aber selbst, dass Du keine Ahnung von der Thematik hast? Ist nicht als Flame gemeint, sondern wirklich nur eine Frage, denn das hat mich ein wenig verwirrt...
CU
maxhb
Falls Tetramatrix das ernst meint stehts allerdings echt schlecht um die Sicherheit...
Ich stehe der Sicherheit von solch mächjtigen PHP-Projeten sehr skeptisch gegenüber. Ich vermute/befürhcte, das es von denen zu Typo3 gefundenen Einträge auf http://www.securityfocus.com/ noch viel mehr gibt.
das ist aber doch über 14 monate her. da gab´s ja gerademal 3.5.0, wenn ich mich nich irre?
nicht, daß es jetzt keine mehr geben könnte (vielleicht gips ja noch viel mehr... 😉 ), aber das is nunmal einfach nicht der stand der dinge, oder hab ich mich da völlig verguckt??