Tetramatrix schriebhmm, also ihr zweifelt an meiner autorität als security team leader xss? das ist aber nett. selbst meine mitarbeiter haben sich noch nicht beschwert. und dann kommt ihr an, und wollt schon an meinen posten rütteln, oder was?
heh an deinem posten will ja keiner rütteln #giggle#
wir nehmen die sicherheit sehr, sehr wichtig. und typo3 ist sicher. und wenn ihr ein Loch findet, dann sollt ihr uns das privat mailen, und uns angemessene zeit geben, das zu fixen. damit eben solche skript-kiddies nicht auf dumme gedanken kommen.
jetzt mal meine frage?
wie wollt ihr typo3 absolut sicher machen, wenn php selber nicht sicher ist?
cu
thorsten
tomybyte schrieb
Da scheint mir Microsoft aufgeschlossener!
brrrrrrrrrrrrrrrrrrrrrrrrrrrrrr............
das böse wort das mit m anfängt und mit icrosoft aufhört...
#evil#
cu
thorsten
Tetramatrix schriebhmm, also ihr zweifelt an meiner autorität als security team leader xss?
hmmmmm....Nein wie könnten wir denn daran zweifeln !
Da wir alle wissen das PHP absolut sicher ist gehen wir davon aus das du weißt was du da tust !
Das hat ungefähr soviel Aussagekraft wie die Erkenntnis das M$ IE keine Bugs sondern hidden Features beinhaltet...was den Begriff "Javascript Injection" umso interessanter erscheinen lässt.
SCNR
Dosul
Bin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).
Wie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.
Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
t.
Tetramatrix schrieb
Wie oft soll ich den noch sagen, daß T3 sicher ist?
Der letzte der behauptete das irgendetwas sicher sei und er mit wirrem Blick auf der Bühne umherhüpfend schrie "I Love that Company" war ein gewisser Steve Bullmer........
Wolltest du dich dort einreihen ???
dosul
also ich bin auch der meinung das t3 soweit sicher ist. nur man kann immer wieder neue sicherheitslücken entdecken und stopfen. das ist doch wie bei gesetzen, es gibt fast immer einen weg sie zu umgehen 😃
Tetramatrix schriebBin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).
Dann wird ja alles gut 😉
Tetramatrix schriebWie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.
Wollte ja auch niemand sagen, dass die SecGruppe nur Däumchen dreht. Ich denke wir sind alle froh, dass sich dieser thematik angenommen wird und Reaktionszeiten von einer Woche sind in der tat ziemlich gut!
Das T3 allerdings von Dir prinzipiell als sicher eingestuft wird kann ich jedoch immer noch nicht nachvollziehen. Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
Tetramatrix schriebAußerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
CU
maxhb
hi
mich würde trotzdem das javascript injection problem interessieren 😉
nur so nebenbei #giggle#
cu
thorsten
Tetramatrix schriebAußerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
maxhb schrieb
Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
Naja.....hmmmmmm......
Ich weiss nicht.....ne Brute force mit Dictionary???
Wie man sowas abfängt sollte eigentlich bekannt sein....
Ist nen uralter Hut.....
Klar kann man das abfangen in dem man die Login Versuche Zeitlich begrenzt oder ??
Naja...war nur so'n Gedanke....
cu
Dosul
TW schriebhi
mich würde trotzdem das javascript injection problem interessieren 😉
nur so nebenbei #giggle#
cu
thorsten
Na dann......
<script>alert('evil+java+script+here')</script>
*gg*
Dosul
#giggle# :o #giggle# 8-)
jetzt wissen wir also alle was javascript injections sind.......... 😉
cu
thorsten
Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird. Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
T.
Tetramatrix schriebDa ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird.
Das war ziemlich genau, was ich meinte. Allerdings würde ich den Aufwand für eine SQL-Injection nicht zu hoch hängen, das kann ggf. sehr einfach gehen. Zum Glück ist jedoch bei PHP mittlerweile die Option GPC_MAGIC_QUOTES standardmässig aktiviert, so dass ungeprüfte GET- und POST-Parameter nicht mehr so schnell zum Problem werden...
Tetramatrix schriebAber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
Don't panic
... steht schon auf einem der berühmtesten Bücher überhaupt #giggle#
CU
maxhb
Tetramatrix schriebDa ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie.
na aber jetzt mal ehrlich.......
alle die was versierter sind und wissen wo sie ansetzen müssen, kriegens hin........und dafür braucht man nicht mal kriminelle energie, sondern einfach nur blanke neugierde...
cu
thorsten
...Jungs !
Jetzt mal ehrlich !!
Lasst die Kirche mal im Dorf.....
Über Sicherheit innerhalb einer Applikation zu reden deren Sourcen offen liegen ist -- nehmt es mir nicht übel -- der grösste Schwachsinn überhaupt !!
An dieser Stelle zu behaupten T3 sei sicher ist so ziemlich der grö?te Blödsinn den ich in letzter Zeit gelesen habe...
Was ist noch alles sicher ??
Postnuke?
Also....man kann es nem Script Kiddie zwar schwer machen....aaaaaaber nem Hacker ringt das ein mehr oder weniger müdes lächeln ab.
Security Team hin oder her !!
cu
Dosul
#giggle# 8-) #giggle#
jungens hört auf den mann, der weiss wovon er redet 😉
ausserdem is das ja wohl mehr als die wahrheit!
cu
thorsten
@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.
Tetramatrix schrieb@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.
Nein.....aber sag mir doch mal wo DU nen T3 laufen
hast ?
edit:
LOL....
Wer ist hier der Kaiser von China ?
Chi Hoang ??
Sach mal......
http://www.chihoang.de
Is datt deine ?
...und kein T3 ????
Schade eigentlich...*ggg*
SCNR
Dosul