Tetramatrix schriebWie oft soll ich den noch sagen, daß T3 sicher ist?
Der letzte der behauptete das irgendetwas sicher sei und er mit wirrem Blick auf der Bühne umherhüpfend schrie "I Love that Company" war ein gewisser Steve Bullmer........
Wolltest du dich dort einreihen ???
dosul
also ich bin auch der meinung das t3 soweit sicher ist. nur man kann immer wieder neue sicherheitslücken entdecken und stopfen. das ist doch wie bei gesetzen, es gibt fast immer einen weg sie zu umgehen 😃
Tetramatrix schriebBin kein Schlipsträger und bin auch nicht sauer. Vielleicht ein bißchen 8-).
Dann wird ja alles gut 😉
Tetramatrix schriebWie oft soll ich den noch sagen, daß T3 sicher ist? Erst kürzlich hat Heise mal wieder einen Riesenterz gemacht, wegen einem XSS-Sicherheitsleck in T3 BE. Der Patch dagegen war in noch nicht mal einer Woche fertig. Microsoft und Apple brauchen dafür Monate und ein Riesenbudget.
Wollte ja auch niemand sagen, dass die SecGruppe nur Däumchen dreht. Ich denke wir sind alle froh, dass sich dieser thematik angenommen wird und Reaktionszeiten von einer Woche sind in der tat ziemlich gut!
Das T3 allerdings von Dir prinzipiell als sicher eingestuft wird kann ich jedoch immer noch nicht nachvollziehen. Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
Tetramatrix schriebAußerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
CU
maxhb
hi
mich würde trotzdem das javascript injection problem interessieren 😉
nur so nebenbei #giggle#
cu
thorsten
Tetramatrix schriebAußerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.
maxhb schriebDagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...
Naja.....hmmmmmm......
Ich weiss nicht.....ne Brute force mit Dictionary???
Wie man sowas abfängt sollte eigentlich bekannt sein....
Ist nen uralter Hut.....
Klar kann man das abfangen in dem man die Login Versuche Zeitlich begrenzt oder ??
Naja...war nur so'n Gedanke....
cu
Dosul
TW schriebhi
mich würde trotzdem das javascript injection problem interessieren 😉nur so nebenbei #giggle#
cu
thorsten
Na dann......
<script>alert('evil+java+script+here')</script>
*gg*
Dosul
#giggle# :o #giggle# 8-)
jetzt wissen wir also alle was javascript injections sind.......... 😉
cu
thorsten
Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...
Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird. Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
T.
Tetramatrix schriebDa ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird.
Das war ziemlich genau, was ich meinte. Allerdings würde ich den Aufwand für eine SQL-Injection nicht zu hoch hängen, das kann ggf. sehr einfach gehen. Zum Glück ist jedoch bei PHP mittlerweile die Option GPC_MAGIC_QUOTES standardmässig aktiviert, so dass ungeprüfte GET- und POST-Parameter nicht mehr so schnell zum Problem werden...
Tetramatrix schriebAber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.
Don't panic
... steht schon auf einem der berühmtesten Bücher überhaupt #giggle#
CU
maxhb
Tetramatrix schriebDa ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie.
na aber jetzt mal ehrlich.......
alle die was versierter sind und wissen wo sie ansetzen müssen, kriegens hin........und dafür braucht man nicht mal kriminelle energie, sondern einfach nur blanke neugierde...
cu
thorsten
http://www.php.net/manual/de/function.get-magic-quotes-gpc.php
Hmm, über magic quotes habe ich aber nix gutes gelesen. Funktioniert das überhaupt?Grüße,
T.
...Jungs !
Jetzt mal ehrlich !!
Lasst die Kirche mal im Dorf.....
Über Sicherheit innerhalb einer Applikation zu reden deren Sourcen offen liegen ist -- nehmt es mir nicht übel -- der grösste Schwachsinn überhaupt !!
An dieser Stelle zu behaupten T3 sei sicher ist so ziemlich der grö?te Blödsinn den ich in letzter Zeit gelesen habe...
Was ist noch alles sicher ??
Postnuke?
Also....man kann es nem Script Kiddie zwar schwer machen....aaaaaaber nem Hacker ringt das ein mehr oder weniger müdes lächeln ab.
Security Team hin oder her !!
cu
Dosul
#giggle# 8-) #giggle#
jungens hört auf den mann, der weiss wovon er redet 😉
ausserdem is das ja wohl mehr als die wahrheit!
cu
thorsten
@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.
Tetramatrix schrieb@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.
Nein.....aber sag mir doch mal wo DU nen T3 laufen
hast ?
edit:
LOL....
Wer ist hier der Kaiser von China ?
Chi Hoang ??
Sach mal......
http://www.chihoang.de
Is datt deine ?
...und kein T3 ????
Schade eigentlich...*ggg*
SCNR
Dosul
oh ja bitte!!!!
#giggle#
@dosul: locahost *ROFL*
Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde 😉
CU
maxhb
maxhb schriebVielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde 😉
CU
maxhb
Jepp....agreed #giggle#
Aber der meinung war ich schon von Anfang an 😉
cu
Dosul
maxhb schriebVielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de
ja und hätten wir hier moderatoren #giggle# wäre der thread schon lange dicht :o
cu
thorsten
